---
title: "Хакерська кампанія wfx-loot скомпрометувала 4800 облікових записів GitHub"
url: "https://www.faktyua24.com/hakerska-kampaniya-wfx-loot-skomprometuvala-4800-oblikovih-zapisiv-github-a7292e/"
published: "2026-11-13T00:25:30+02:00"
modified: "2026-11-13T00:36:35+02:00"
section: "Технології"
language: "uk"
publisher: "Факти Україна 24"
---

# Хакерська кампанія wfx-loot скомпрометувала 4800 облікових записів GitHub

![Hackers compromise 4,800 GitHub accounts to steal cloud credentials](https://www.faktyua24.com/wp-content/uploads/2026/11/7956e1e9916e0afe1433ff576151e911-1024x576.webp)

- Зловмисники використали 4837 скомпрометованих акаунтів для впровадження шкідливого коду у понад 60 тисяч репозиторіїв GitHub.
- Атака дозволила викрасти секрети та хмарні облікові дані щонайменше з 1835 цільових репозиторіїв.
- Власникам репозиторіїв рекомендовано негайно змінити всі скомпрометовані секрети та ключі доступу до хмарних сервісів.

Кампанія під назвою wfx-loot розпочалася близько 12:45 за всесвітнім координованим часом 10 листопада. Зловмисники отримали доступ до 4837 акаунтів і здійснили перевірку 61 764 репозиторіїв на наявність прав запису. Метою атаки було викрадення секретів GitHub Actions та облікових даних хмарних платформ AWS, Azure і GCP.

До числа скомпрометованих об'єктів увійшли акаунти компаній зі списку Fortune 100, а також структури державного сектору, включаючи Адміністрацію загальних служб США та уряд Франції. Дослідники з компанії Aikido зазначають, що близько 50 скомпрометованих акаунтів мали права на публікацію в екосистемах програмного забезпечення, таких як npm, PyPI, Go, crates та Packagist.

> Зловмисники прагнули викрасти секрети CI, тоді як випуски пакетів стали побічним продуктом автоматизованого процесу публікації.

— Дослідники компанії Aikido

Хакерська схема передбачала відкриття запитів на внесення змін під назвою docs: dependency audit notes. Після отримання доступу зловмисники доставляли шкідливий скрипт через модифікацію робочих процесів GitHub Actions. Програма збирала дані, обмінювала токени GitHub OIDC на тимчасові хмарні сесії та намагалася закріпитися в інфраструктурі, створюючи довгострокові облікові дані.

Після завершення операції нападники оперативно скасовували зміни та видаляли логи протягом хвилини. Зафіксовано випадки автоматичного поширення шкідливого коду через оновлення пакетів у Packagist та Go module. Фахівці виявили збіги цієї кампанії з активністю GhostAction, зафіксованою у 2025 році.