Exfiltración de tokens

La exfiltración de tokens es el robo o la extracción no autorizada de credenciales de autenticación como claves de API, tokens de acceso OAuth, JWT o secretos de CI/CD. Una vez robados, estos tokens conceden a un atacante los mismos permisos que a su titular legítimo, sin necesidad de contraseña.

En los entornos de CI/CD, el GITHUB_TOKEN y otros secretos de pipeline similares son objetivos de gran valor. Un atacante que consigue ejecutar código dentro de un runner de workflow puede leer las variables de entorno o el almacén de tokens y exfiltrar las credenciales a un servidor externo.

Entre las medidas preventivas figuran limitar los tokens a los permisos mínimos necesarios, establecer periodos de caducidad cortos, monitorizar el uso anómalo de las API y aplicar controles de egress de red en los runners de CI para bloquear la exfiltración de datos salientes.