El riesgo persistente de los ‘secretos’ en repositorios públicos
Un reciente y exhaustivo estudio realizado por la firma Truffle Security ha puesto de manifiesto una vulnerabilidad sistémica en el desarrollo de software moderno: la exposición accidental de credenciales en repositorios públicos de GitHub. Tras analizar más de 224 millones de repositorios y 58.000 millones de archivos, los investigadores identificaron 543.699 credenciales únicas que aún son válidas y operativas.
Este hallazgo es especialmente preocupante para el entorno empresarial, ya que estas credenciales —que incluyen claves de API, tokens de acceso y cadenas de conexión a bases de datos— actúan como llaves maestras que permiten a atacantes acceder a infraestructuras críticas, datos de clientes y servicios en la nube sin necesidad de vulnerar perímetros de seguridad tradicionales.
Cifras que exigen atención inmediata
El informe destaca datos alarmantes sobre la persistencia de estos fallos de seguridad:
- Tiempo de exposición: La mediana de tiempo que una credencial permanece accesible al público es de 784 días (más de dos años).
- Longevidad: Aproximadamente el 10% de las credenciales activas tienen una antigüedad superior a los 6 años, con algunas datando incluso de 2009.
- Densidad de secretos: El número de credenciales operativas por cada millón de archivos ha aumentado drásticamente, pasando de 3,72 en 2015 a un pico de 11,62 en 2025.
¿Por qué fallan las medidas de protección actuales?
Aunque GitHub introdujo su función Push Protection (diseñada para bloquear automáticamente la subida de código que contenga secretos), la realidad técnica muestra limitaciones importantes. Esta herramienta ha logrado reducir en un 53% la exposición en las categorías que cubre, pero presenta dos brechas críticas:
- Falta de retroactividad: El sistema bloquea nuevas subidas, pero no revoca ni alerta automáticamente sobre credenciales que ya fueron expuestas anteriormente o que se encuentran en el historial de versiones (commits).
- Categorías no cubiertas: Más del 51% de las credenciales detectadas pertenecen a categorías que el sistema por defecto de GitHub no bloquea, como cadenas de conexión a bases de datos específicas o ciertas claves de Google API.
Impacto en la continuidad de negocio
Para una organización, la filtración de una sola clave de AWS o Google Cloud puede traducirse en el control total de sus cuentas corporativas, despliegue de ransomware o exfiltración masiva de datos. El estudio revela una disparidad en la respuesta de los servicios: mientras que los tokens de npm son revocados casi instantáneamente tras su exposición, más de la mitad de las credenciales de Google Cloud analizadas seguían funcionando a pesar de ser públicas.
Recomendaciones de Intedya para la protección de activos digitales
Desde la perspectiva de la gestión de riesgos y la ciberseguridad proactiva, es imperativo que las empresas adopten una estrategia de ‘Secret Management’ robusta:
- Rotación inmediata: Establecer protocolos para rotar cualquier credencial que haya sido comprometida o expuesta, invalidando la clave antigua al instante.
- Escaneo de historial: No basta con borrar el código actual; es necesario utilizar herramientas especializadas para escanear todo el historial de Git y eliminar rastros de secretos en versiones pasadas.
- Automatización y expiración: Configurar fechas de caducidad automática para todos los secretos activos y emplear gestores de secretos (como HashiCorp Vault o AWS Secrets Manager) en lugar de codificarlos en el software.
- Formación técnica: Capacitar a los equipos de desarrollo en prácticas de codificación segura para evitar que la comodidad del desarrollo sacrifique la seguridad de la organización.
Fuentes
- Bleeping Computer — Over 543,000 valid credentials exposed in public GitHub repositories
https://www.bleepingcomputer.com/news/security/over-543-000-valid-credentials-exposed-in-public-github-repositories/