Vilande konton vaknar till liv – och kartlägger dina offentliga kodarkiv i det tysta

Gamla konton vaknar till liv

Föreställ dig ett konto som registrerades på GitHub för tre år sedan, aldrig publicerade ett enda kodarkiv, aldrig följde någon användare, aldrig lämnade en kommentar. Det bara… låg där. Vilande. Osynligt.

Sedan, en dag i oktober 2025, börjar det skicka förfrågningar.

Det är precis det mönster som säkerhetsföretaget Datadog beskriver i sin senaste rapport. Enligt SecurityWeek har angripare under flera månader bedrivit en systematisk och samordnad kartläggning av GitHub-organisationer – och vapnet de använder är just dessa så kallade spökkonton. Konton som registrerades för två till fem år sedan, utan någon synlig aktivitet, och som nu plötsligt används i intensiva perioder om en till tre veckor.

Hittills har över 50 sådana konton identifierats som delaktiga i kampanjen.

Plattformens öppenhet blir en sårbarhet

Det som gör den här attacken tekniskt elegant – och farlig – är att den utnyttjar en grundläggande egenskap hos GitHub snarare än en bugg i systemet. Stora delar av plattformens programmeringsgränssnitt är helt öppna och tillgängliga utan inloggning. Det är en medveten designfilosofi för att underlätta öppen källkod och samarbete.

Men det innebär också att en angripare kan hämta information om en organisations offentliga kodarkiv, dess medlemmar och projektstrukturer – helt utan att trigga ett enda säkerhetslarm. Förfrågningarna ser ut precis som vilken annan legitim trafik som helst och genererar inga felmeddelanden.

Att försvara sig mot något som inte syns ut är per definition svårt.

Angriparna har dessutom anpassat sina tekniska identifierare – de strängar som berättar för en server vilket program som skickar en förfrågan – så att de liknar kända och legitima analysverktyg eller instrumentpaneler. Det är ett klassiskt sätt att dölja sig i bruset.

Kartläggning som språngbräda

I de flesta observerade fall stannar aktiviteten vid just kartläggning. Men det vore naivt att betrakta det som harmlöst. En detaljerad karta över en organisations kodarkiv, dess teknikstack, vilka externa beroenden som används och vilka utvecklare som arbetar med vad – det är underrättelseinformation av hög kvalitet.

Sådan information kan senare användas för riktade nätfiskeattacker mot specifika utvecklare, för att hitta svaga punkter i leveranskedjor för programvara, eller för att planera mer avancerade intrång. Kartläggning är inte slutmålet – det är startskottet.

Datadog rapporterar att man i vissa kampanjer sett angriparna gå längre, och faktiskt genomföra datastöld i anslutning till kartläggningsaktiviteten.

Vad kan organisationer göra?

Det finns ingen enkel teknisk lösning som stänger ute den här typen av aktivitet utan att samtidigt bryta mot GitHub:s grundläggande öppenhet. Men det finns åtgärder som minskar exponeringen.

Det viktigaste är att systematiskt granska vad som faktiskt är offentligt. Många organisationer har kodarkiv, interna verktyg eller konfigurationsfiler som råkat bli offentliga utan att någon aktivt beslutat det. Regelbundna genomgångar av behörigheter och synlighetsinställningar borde vara rutin – inte en engångsåtgärd vid uppstart.

Det är också värt att fundera på vad metadata i sig avslöjar. Även om koden i ett arkiv är privat kan arkivets namn, beskrivning eller tillhörande projektstruktur röja information om vilken teknik organisationen använder eller vad man arbetar med.

Slutligen: för organisationer med höga säkerhetskrav finns det anledning att aktivt övervaka vilka GitHub-konton som är kopplade till den egna organisationen och regelbundet revidera listan över medlemmar och samarbetspartners.

Den här typen av underrättelseinhämtning är knappast ny som koncept – det är i grunden klassisk spaning, fast digitaliserad. Det som är nytt är skalan, systematiken och det faktum att plattformar vi dagligen förlitar oss på oavsiktligt möjliggör den.