Esfiltrazione di token

L'esfiltrazione di token è il furto o l'estrazione non autorizzata di credenziali di autenticazione come chiavi API, token di accesso OAuth, JWT o secret CI/CD. Una volta rubati, questi token concedono a un attaccante gli stessi permessi del legittimo titolare, senza bisogno di una password.

Negli ambienti CI/CD, il GITHUB_TOKEN o secret di pipeline simili sono bersagli di grande valore. Un attaccante che riesce a eseguire codice all'interno di un runner di workflow può leggere le variabili d'ambiente o l'archivio dei token ed esfiltrare le credenziali verso un server esterno.

Le misure preventive comprendono la limitazione dei token ai permessi minimi necessari, l'impostazione di scadenze brevi, il monitoraggio dell'uso anomalo delle API e l'applicazione di controlli di egress di rete sui runner CI per bloccare l'esfiltrazione di dati in uscita.