Exfiltration de tokens

L'exfiltration de tokens désigne le vol ou l'extraction non autorisée d'identifiants d'authentification tels que les clés d'API, les tokens d'accès OAuth, les JWT ou les secrets CI/CD. Une fois volés, ces tokens accordent à un attaquant les mêmes permissions qu'à leur détenteur légitime, sans qu'il ait besoin de mot de passe.

Dans les environnements CI/CD, le GITHUB_TOKEN et les secrets de pipeline similaires sont des cibles de grande valeur. Un attaquant qui parvient à exécuter du code dans un runner de workflow peut lire les variables d'environnement ou le magasin de tokens et exfiltrer les identifiants vers un serveur externe.

Les mesures préventives consistent notamment à limiter les tokens aux permissions minimales nécessaires, à définir des durées d'expiration courtes, à surveiller les usages anormaux des API et à appliquer des contrôles du trafic sortant sur les runners CI pour bloquer l'exfiltration de données.