GitHub : des API publiques détournées pour cartographier les logiciels des entreprises

Des acteurs malveillants exploitent les API publiques de GitHub pour établir des cartes détaillées des logiciels d’entreprise utilisés, d’après une alerte rapportée par Le Monde Informatique. Le procédé ne repose pas sur une intrusion directe dans les systèmes, mais sur l’agrégation de signaux accessibles publiquement, dépôts, dépendances, actions automatisées, tickets et métadonnées. En résultat, des organisations peuvent voir leur surface d’attaque décrite avec un niveau de précision suffisant pour orienter des campagnes de compromission, de chantage ou d’espionnage industriel.

Les API publiques de GitHub agrègent des indices techniques à grande échelle

Les API publiques de GitHub sont conçues pour faciliter l’accès automatisé à des informations, recherche de dépôts, consultation d’historiques, récupération de métadonnées, inventaire de contributions ou interrogation d’artefacts. À l’échelle d’une entreprise, ces éléments, isolés, paraissent anodins. Mais la collecte industrielle change la nature du risque. Un même jeu d’appels API, répété sur des milliers de référentiels, peut produire un inventaire des technologies utilisées, langages, frameworks, bibliothèques, services cloud, outils CI/CD.

Les attaquants ne se limitent pas aux dépôts publics. Ils utilisent la structure des organisations, les patterns de noms, les liens entre comptes, les forks, les dépendances déclarées et les références croisées pour relier des projets à une entité précise. Les fichiers de configuration, les workflows d’intégration continue, les manifests de dépendances ou les scripts d’automatisation révèlent souvent des composants tiers et des versions. Or ce sont ces versions qui permettent d’aligner un environnement sur des vulnérabilités connues, sans avoir besoin d’un accès interne.

Des éléments périphériques peuvent aussi enrichir la cartographie. Des issues mentionnant un bug de compatibilité, un ticket signalant une mise à jour, un commentaire évoquant une migration, un changelog indiquant un composant supprimé, chacun fournit un indice sur le rythme de patching. Les tags de release, les branches de maintenance, ou les commits liés à des correctifs de sécurité permettent d’estimer si une équipe réagit vite ou lentement, paramètre utile pour prioriser des cibles.

Dans les entreprises, l’open source et les pratiques DevSecOps multiplient les traces techniques publiques. Une politique interne qui encourage la contribution amène des développeurs à publier des extraits, des exemples, des modules d’infrastructure, parfois avec des détails sur des environnements. Même sans secrets exposés, la simple connaissance de l’outillage, GitHub Actions, gestionnaires de paquets, scanners, peut suffire à bâtir un modèle de l’architecture logicielle. Cette capacité d’inventaire à grande échelle transforme une plateforme collaborative en source de renseignement exploitable.

La cartographie facilite le ciblage des failles et l’ingénierie sociale

Une fois la cartographie établie, l’intérêt opérationnel est immédiat. Connaître les composants, leurs versions et leurs dépendances aide à sélectionner une chaîne d’attaque probable, exploitation d’une faille, compromission d’un fournisseur, prise de contrôle d’un pipeline. Les attaquants peuvent comparer l’inventaire obtenu via API à des bases publiques de CVE, puis retenir les organisations dont les versions semblent en retard. Cette phase de préparation, souvent appelée reconnaissance, devient moins coûteuse et plus discrète.

Le risque ne se limite pas à l’exploitation technique. La cartographie peut nourrir des scénarios d’ingénierie sociale plus crédibles. Un courriel frauduleux mentionnant le bon outil de ticketing, la bonne plateforme de CI, ou un composant utilisé, augmente les chances de succès. Un faux message de support évoquant un incident sur un service de build identifié via des logs ou des workflows publics a plus de poids qu’un phishing générique. La précision technique sert de levier psychologique.

Des campagnes plus sophistiquées peuvent viser la chaîne logicielle. Si l’inventaire montre l’usage d’un package populaire, les attaquants peuvent tenter une attaque de type typosquatting ou publier une dépendance malveillante portant un nom proche. Ils peuvent aussi rechercher les dépôts internes qui consomment un outil open source précis, puis cibler les mainteneurs externes, ou pousser des contributions piégées. Les API publiques deviennent un plan d’accès indirect, non pour entrer directement, mais pour savoir où appuyer.

Le volet réputationnel compte aussi. Une entreprise dont les technologies sont listées publiquement peut être associée à des composants obsolètes, même si une partie de l’inventaire est incomplète ou mal interprétée. Un tiers, concurrent, client, assureur cyber, peut tirer des conclusions hâtives. De ce fait, la cartographie peut produire un effet d’exposition qui dépasse la sécurité purement technique, en influençant des évaluations de maturité ou des négociations contractuelles.

Les dépôts, workflows CI/CD et dépendances exposent l’outillage réel

Les dépôts publics restent la source la plus évidente, mais l’outillage CI/CD est souvent plus révélateur que le code. Un fichier de pipeline indique des runners, des conteneurs, des étapes de tests, des scanners, des registries, parfois des endpoints, même si les secrets sont masqués. Dans GitHub Actions, les workflows décrivent des actions tierces, des versions d’images, des paramètres d’exécution. Même lorsque l’organisation maîtrise l’hygiène des secrets, l’architecture opérationnelle peut transparaître.

Les fichiers de dépendances, package-lock, requirements, pom, build. gradle, go. mod, ou chart Helm, exposent la chaîne complète de bibliothèques. Les attaquants peuvent en déduire les frameworks web, les connecteurs de bases de données, les clients d’API, et les moteurs de sérialisation. Des indexations automatisées permettent ensuite de classer les entreprises par technologies, Java, Node. js, Python, ou par composants critiques. Cette classification facilite la sélection des exploits adaptés.

Les artefacts de publication constituent une autre piste. Des releases et tags décrivent des versions internes, parfois corrélables à des déploiements. Des images conteneurs référencées dans les scripts peuvent être tracées vers des registres publics ou des empreintes de build. Des fichiers d’infrastructure, Terraform, Ansible, Kubernetes manifests, révèlent des modèles de déploiement, des fournisseurs cloud et des services managés. Même si les identifiants sont absents, la structure aide à anticiper les points de fragilité.

Les interactions sociales apportent un contexte humain. Les contributeurs, leurs horaires de commit, les messages de merge, les discussions de tickets donnent des indices sur l’organisation des équipes. Un acteur peut repérer un mainteneur clé, puis tenter une compromission ciblée, usurpation d’identité, prise de compte, ou manipulation via pull request. La cartographie technique et la cartographie des personnes se renforcent mutuellement, tout en restant basées sur de l’information publique.

Les réponses des entreprises passent par gouvernance et réduction des signaux

Réduire ce risque exige une gouvernance claire du périmètre public. Beaucoup d’organisations disposent de règles générales, mais la granularité compte, types de dépôts autorisés, modèles de workflows, revues de sécurité avant publication, politique sur les exemples de configuration. Une première mesure consiste à inventorier ce qui est déjà exposé, puis à décider ce qui doit rester public pour des raisons de recrutement, d’écosystème, ou de transparence, et ce qui doit basculer en privé.

La sécurisation des pipelines est un second axe. Restreindre l’usage d’actions tierces non vérifiées, épingler les versions, limiter les permissions des tokens, et activer des protections sur les branches réduit l’intérêt d’un adversaire qui viserait une compromission de la chaîne. Des mécanismes comme la revue obligatoire des workflows, l’isolement des runners, ou la séparation stricte entre dépôts publics et secrets d’entreprise limitent l’impact d’une reconnaissance basée sur les API.

Les équipes sécurité peuvent aussi surveiller l’empreinte publique. Des outils internes ou des services de veille permettent de détecter la publication de fichiers sensibles, mais aussi la fuite d’indices, endpoints, noms d’hôtes, identifiants de services, chemins internes. L’objectif n’est pas d’interdire l’open source, mais d’éviter que l’addition de détails techniques ne devienne un plan d’attaque. Dans cette logique, des templates de configuration nettoyés et des exemples génériques réduisent la quantité de signaux exploitables.

Enfin, la réponse passe par la formation et la coordination entre développement, sécurité et communication. Un développeur qui publie un correctif rapide peut, sans le vouloir, signaler qu’une faille est exploitable dans un produit maison. Une note de release trop précise peut révéler une dépendance critique. En conséquence, une revue éditoriale des informations publiques, combinée à des règles de divulgation, aide à concilier collaboration et maîtrise du renseignement. Les API publiques de GitHub resteront accessibles, mais la quantité de matière exploitable dépend largement des choix de publication.

Camille Dupuis

Camille est notre génie des médias sociaux. Elle garde nos lecteurs connectés et engagés à travers diverses plates-formes, partageant les histoires qui captivent et incitent à la conversation. Avec un diplôme en marketing digital de l’Université de Bordeaux, elle a transformé notre présence en ligne.