Un'indagine condotta da Truffle Security ha portato alla luce una realtà allarmante: su 224 milioni di repository pubblici analizzati, sono state trovate 543.699 credenziali che risultavano ancora valide e funzionanti a fine luglio 2026. Si tratta di chiavi di accesso, token e password che erano stati accidentalmente caricati su GitHub, spesso anni fa, e che non sono mai stati revocati.
Un problema che persiste nel tempo
Secondo quanto riportato, circa la metà di queste credenziali era presente sulla piattaforma da più di due anni, mentre la più vecchia risalirebbe addirittura al 2012. Questo significa che per oltre un decennio, potenziali attaccanti avrebbero potuto sfruttare tali informazioni per accedere a sistemi, database e servizi cloud senza alcuna autorizzazione. La scoperta evidenzia una cattiva pratica diffusa: molti sviluppatori rimuovono i file contenenti segreti dai repository, ma non invalidano le chiavi corrispondenti, lasciandole attive e vulnerabili.
Le conseguenze per la sicurezza
La presenza di credenziali attive in repository pubblici rappresenta una minaccia concreta per la sicurezza informatica. Gli attaccanti possono scansionare automaticamente GitHub alla ricerca di pattern riconoscibili (come chiavi API, token di accesso, stringhe di connessione) e utilizzarli per violare account, sottrarre dati o compromettere infrastrutture. Truffle Security ha sottolineato che molte di queste credenziali appartengono a servizi cloud come AWS, Google Cloud e Azure, oltre a piattaforme di sviluppo e database. Il rischio è amplificato dal fatto che spesso le aziende non monitorano la scadenza o la revoca delle chiavi esposte.
Come proteggersi
Per evitare di cadere in questa trappola, gli esperti consigliano di adottare alcune misure fondamentali: ruotare regolarmente le credenziali, utilizzare strumenti di scansione automatica come git-secrets o TruffleHog per rilevare segreti prima del commit, e implementare policy di sicurezza che impongano la revoca immediata di qualsiasi chiave accidentalmente esposta. Inoltre, è buona norma non salvare mai credenziali in chiaro all'interno del codice sorgente, preferendo l'uso di variabili d'ambiente o servizi di gestione dei segreti come HashiCorp Vault o AWS Secrets Manager.
Prospettive future
Il caso GitHub non è isolato: piattaforme come GitLab e Bitbucket presentano problematiche simili. La crescente adozione di pratiche DevOps e l'aumento esponenziale del codice pubblicato rendono la gestione dei segreti una sfida sempre più critica. Le aziende devono prendere coscienza che la sicurezza non è un evento una tantum, ma un processo continuo. La scoperta di Truffle Security rappresenta un campanello d'allarme: ignorare la presenza di credenziali obsolete significa lasciare una porta aperta a potenziali violazioni dai costi devastanti.
