--- title: "GhostAction saldırısı 1.900 GitHub hesabını ele geçirdi, 30 bin depoyu hedef aldı" url: "https://teknotayf.com/haber/ghostaction-saldirisi-1-900-github-hesabini-ele-gecirdi-30-bin-depoyu-hedef-aldi" markdown_url: "https://teknotayf.com/haber/ghostaction-saldirisi-1-900-github-hesabini-ele-gecirdi-30-bin-depoyu-hedef-aldi.md" site: "teknotayf.com" language: "tr" published: "2026-10-15 11:45:10" updated: "2026-10-15 09:17:22" category: "Siber Güvenlik" tags: ["Tedarik Zinciri Saldırısı","GitHub Güvenliği","Kimlik Bilgisi Çalma","GhostAction"] source: "The Hacker News" --- # GhostAction saldırısı 1.900 GitHub hesabını ele geçirdi, 30 bin depoyu hedef aldı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/ghostaction-saldirisi-1-900-github-hesabini-ele-gecirdi-30-bin-depoyu-hedef-aldi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** GhostAction adlı kimlik bilgisi çalma kampanyası yeni bir dalga ile 3 bin kullanıcıya ait 30 binden fazla GitHub deposunu hedef aldı. GitGuardian verilerine göre saldırı 8-9 Ekim'de 1.900 hesabın ele geçirilmesiyle 3 binden fazla gizli bilginin çıkarılmaya çalışılmasına yol açtı. GitHub 9 Ekim'den itibaren kötü niyetli iş akışlarını engellemeye başladı. - **Yayın tarihi:** 2026-10-15 11:45 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Tedarik Zinciri Saldırısı, GitHub Güvenliği, Kimlik Bilgisi Çalma, GhostAction - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/ghostaction-compromises-about-1900.html) ![GhostAction saldırısı 1.900 GitHub hesabını ele geçirdi, 30 bin depoyu hedef aldı](https://teknotayf.com/assets/uploads/2026/10/ea3f6875a66d4338a972da8243e7b6e7.jpg) Kimlik bilgisi çalma kampanyası **GhostAction** hız kazandı; 3 bin kullanıcı ve kuruluşa ait **30 binden fazla depo**yu hedef alıyor. GitGuardian'a göre artış **8 ve 9 Ekim 2026**'da görüldü. Bu durum yaklaşık **1.900 GitHub hesabı**nın ele geçirilmesinden kaynaklandı. Araştırmacılar Gaetan Ferry ve Guillaume Valadon, saldırının açık depoların sürekli entegrasyonundan 3.174 gizli bilgiyi çıkarmaya çalıştığını söyledi. GhostAction, GitHub'daki geliştirici altyapısını hedef alan bir tedarik zinciri saldırısı kampanyasının adı. Eylül 2025'te ilk kez tespit edilen kampanya, tehdit aktörlerinin meşru geliştirici hesaplarını ele geçirip yazılım depolarına kötü niyetli GitHub Actions otomasyon iş akışları yerleştirmesini içeriyor. Saldırganların çalınan Kişisel Erişim Jetonları (PAT) ya da infostealer günlükleri ve dökümlerinden toplanan kimlik bilgileriyle depolara yazma erişimi sağladığı belirlendi. Ele geçirilen bakım hesabını kullanan saldırganlar, Security Audit ("security-audit.yml") veya GitHub Actions Security ("github_actions_security.yml") gibi yanıltıcı isimler altında kötü niyetli iş akışı dosyası yüklüyor. Etkinliğin amacı sürekli entegrasyon ve sürekli dağıtım (CI/CD) gizli bilgilerinin, bulut kimlik bilgilerinin, paket kayıt defteri jetonlarının (npm, PyPI ve DockerHub gibi) ve yapay zekâ sağlayıcı API anahtarlarının büyük ölçekli çalınması. 31 Ağustos 2026'dan bu yana GhostAction'ın yeni bir dalgası görüldü; kötü niyetli iş akışı yüzlerce depoya itildi. GitGuardian, "Bu yeni dalga önceki dalgalara kıyasla daha deneysel ve manuel görünüyor, yük zaman içinde evriliyor" dedi. "Orijinal GhostAction yüküne kıyasla bu yeni yükün ilk sürümü git geçmişi gizli bilgi tarama özelliği ekledi." Socket ve StepSecurity'nin daha önce belirttiği üzere, geçmiş tarama özelliği AWS anahtar kimlikleri, GitHub ve GitLab jetonları, yapay zekâ ile ilgili gizli bilgiler ve bulut API anahtarlarını kapsayan gizli bilgi algılama düzenli ifadeleri içeriyor. Yükün ikinci sürümü her AWS anahtar kimliği eşleşmesinin etrafındaki yaklaşık iki satırlık bağlamı da yakalıyor; böylece bunları eşleşen gizli erişim anahtarlarıyla eşleştirebiliyor. Yükün üçüncü ve son varyantı ise git geçmişi taraması sırasında gizli bağlamın alınmasını destekliyor. GitGuardian, "Bu yük birden fazla aşamada dağıtıldı" dedi. "Önce daha önce gözlemlenen 160 kurbana, ardından 20 dakika sonra 8-9 Ekim arasında 28 bin yeni depoya. Aynı yük kullanılarak 10 ve 12 Ekim'de yeni dalgalar görüldü. Ancak GitHub 9 Ekim'den itibaren kötü niyetli iş akışının çalışmasını engellemeye başladı. Bu iki sonraki dalga bu yüzden hiçbir gizli bilgi çıkaramadı." İlginç bir şekilde, bu yeni patlamadaki kurbanların bir kısmı Eylül 2025 ve Ağustos 2026 dalgalarında daha önce ele geçirilmişti; bu durum tehdit aktörlerinin değiştirilmemiş gizli bilgilere güvendiğini gösteriyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/ghostaction-saldirisi-1-900-github-hesabini-ele-gecirdi-30-bin-depoyu-hedef-aldi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.