Exfiltração de tokens

A exfiltração de tokens consiste no roubo ou na extração não autorizada de credenciais de autenticação, como chaves de API, tokens de acesso OAuth, JWT ou segredos de CI/CD. Uma vez roubados, estes tokens dão a um atacante as mesmas permissões do titular legítimo, sem necessidade de uma palavra-passe.

Em ambientes de CI/CD, o GITHUB_TOKEN ou segredos semelhantes do pipeline são alvos de grande valor. Um atacante que consiga executar código dentro de um runner de workflow pode ler variáveis de ambiente ou o armazenamento de tokens e exfiltrar credenciais para um servidor externo.

As medidas preventivas incluem limitar os tokens às permissões mínimas necessárias, definir prazos de expiração curtos, monitorizar utilizações anómalas de API e aplicar controlos de egress de rede nos runners de CI para bloquear a exfiltração de dados de saída.