Läckta GitHub-inloggningsuppgifter lämnar över 543 000 hemligheter fortfarande giltiga

Mer än 543 000 inloggningsuppgifter som exponerats i offentliga GitHub-arkiv fungerade fortfarande när forskare kontrollerade dem i juli. Resultaten från Truffle Security visar hur läckta GitHub-inloggningsuppgifter kan lämna åtkomst till tjänster öppen långt efter att utvecklare har publicerat känslig information.

De exponerade hemligheterna hade varit offentligt tillgängliga i median 784 dagar. Dessutom var ungefär 10 % av de fungerande inloggningsuppgifterna äldre än 6,3 år, medan de äldsta daterades tillbaka till 2009.

Storskalig skanning hittar långlivade hemligheter

Truffle Security undersökte 224 miljoner arkiv och mer än 58 miljarder filer. Analysen använde en datamängd som sammanställts för träning av stora språkmodeller, med ett slutdatum för genomsökningen den 7 augusti 2025.

Forskarna identifierade 543 699 unika och giltiga inloggningsuppgifter. Dessa förekom upprepade gånger i mer än 1,1 miljoner filer och arkiv, inklusive kopior i förgrenade arkiv.

Slutdatumet för genomsökningen är viktigt eftersom datamängden representerar en historisk samling snarare än en fullständig bild av GitHub vid publiceringstillfället.

Samtidigt fann forskarna att tätheten av hemligheter ökade över tid. Antalet fungerande inloggningsuppgifter steg från 3,72 per miljon filer 2015 till en topp på 11,62 under 2025.

Push Protection minskar läckor inom sitt täckningsområde

GitHubs Push Protection kontrollerar inkommande kod efter igenkännbara hemligheter, inklusive API-nycklar och åtkomsttoken som stöds. När funktionen upptäcker en sådan kan den blockera uppladdningen.

Funktionen återkallar dock inte inloggningsuppgifter som utvecklare redan har exponerat.

Truffle Security fann att 199 843 giltiga inloggningsuppgifter först dök upp efter att GitHub aktiverade Push Protection som standard i februari 2024. Det motsvarar cirka 36,8 % av det totala antalet.

Dessutom tillhörde 51,8 % av de fungerande inloggningsuppgifterna kategorier som inte omfattades av standardskyddet. Dessa inkluderade anslutningssträngar till databaser och Google API-nycklar.

Trots detta fann forskarna en tydlig förbättring bland de typer av inloggningsuppgifter som stöds. Exponeringsgraden i skyddade kategorier minskade med 53 % efter att standardskyddet började tillämpas.

Resultaten visar därför både värdet av förebyggande skanning och de luckor som fortfarande finns utanför dess täckningsområde.

Återkallningsgraden varierar kraftigt mellan tjänster

Studien visade också betydande skillnader i huruvida exponerade inloggningsuppgifter fortsatte att fungera.

Bland 101 886 exponerade npm-token hittade forskarna bara en som fortfarande var giltig. Som jämförelse fungerade 69 041 av 126 963 exponerade tjänstekontouppgifter för Google Cloud fortfarande under analysen.

Dessa kontrasterande resultat visar varför förebyggande av nya läckor av GitHub-inloggningsuppgifter bara löser en del av problemet. Tidigare publicerade hemligheter kan fortsätta att fungera tills deras ägare eller tjänsteleverantörer ogiltigförklarar dem.

Att ta bort en hemlighet upphäver inte dess åtkomst

Truffle Security rekommenderar att exponerade inloggningsuppgifter roteras omgående, att arkiv rensas och att deras historik genomsöks efter ytterligare hemligheter. Företaget rekommenderar också att automatisk utgångstid ställs in för aktiva inloggningsuppgifter.

Att radera känslig information från den senaste versionen av en fil återkallar inte själva inloggningsuppgiften. Dessutom kan tidigare commits och förgreningar behålla kopior.

Även om forskningen visar en omfattande exponering av fungerande hemligheter mäter den inte hur många angripare som har stulit eller missbrukat dem. Giltighet visar potentiell åtkomst, medan bekräftat missbruk kräver separata bevis.