GhostAction攻擊再襲GitHub，346個儲存庫遭植入竊密工作流程

GhostAction攻擊是一種針對軟體開發者的供應鏈攻擊，攻擊者透過入侵GitHub帳號，在開發者的程式碼儲存庫中植入惡意自動化工作流程。這些工作流程會在程式碼提交或合併時自動執行，竊取敏感資訊如API金鑰、密碼等。攻擊者更利用Git歷史紀錄的特性，即使開發者已刪除金鑰，只要提交紀錄中曾存在，仍可能被竊取。

開發者容易中招的原因在於對GitHub帳號安全性的疏忽，以及對Git歷史紀錄安全性的低估。許多開發者認為刪除金鑰後即安全，卻未意識到歷史紀錄中仍保留敏感資訊。此外，自動化工作流程的權限管理不當，也可能讓攻擊者輕易植入惡意程式碼。

防範建議包括：定期更換GitHub帳號密碼並啟用雙重驗證；定期審視Git歷史紀錄，確保敏感資訊未被提交；限制自動化工作流程的權限，僅允許受信任的來源執行；使用專門的工具掃描程式碼中的敏感資訊，並在提交前自動移除。