Фахівці Datadog виявили серію кібератак, спрямованих на автоматизований збір конфіденційних даних корпоративних репозиторіїв GitHub через офіційне API. Для надсилання запитів хакери використовують понад 50 так званих “примарних” облікових записів — профілів, які були створені від 2 до 5 років тому і навмисно залишалися неактивними, щоб не викликати підозр у систем моніторингу.

Завдяки використанню старих акаунтів та скомпрометованих токенів доступу розробників, активність ботів повністю зливається з нормальним трафіком. Вони збирають списки приватних репозиторіїв компаній, структуру їхніх команд та історію змін коду. Дослідники підтвердили випадки, коли після етапу розвідки хакери переходили до успішного копіювання закритих вихідних кодів організацій.