Claude Code expone credenciales de GitHub en repositorios públicos

Nivel A · Parchea hoy – Antes de terminar la jornada

Quién está expuesto: Desarrolladores con repositorios públicos que usan Claude Code

Nivel A porque: Infraestructura básica o herramienta popular Y secretos expuestos

Alcance

Ataque

Daño

Corrección

Herramienta popular · Secretos expuestos

Qué hacer

Revisar los repositorios públicos en busca de contraseñas y claves de acceso expuestas.
Rotar las credenciales que puedan haber quedado publicadas en GitHub.
Excluir de los commits los archivos de configuración de Claude Code que contengan secretos.

Lo esencial

Apiiro detectó 1.122 archivos de configuración de Claude Code con contraseñas y claves de acceso subidos a repositorios públicos de GitHub.
Según Xataka, la opción «Sí, y no vuelvas a preguntar» de Claude Code parecía inofensiva, pero terminó filtrando miles de contraseñas en GitHub.
Los desarrolladores subieron estos archivos sin querer, por lo que las credenciales quedaron a la vista de cualquiera.

Por qué importa

Cualquier credencial que haya quedado en un repositorio público puede ser usada por terceros, así que conviene revisar si tus proyectos incluyeron archivos de configuración de Claude Code con secretos.

La checklist detrás del nivel

Checklist · 3 de 10 con sí

Sí	Afecta a equipos técnicos	Claude Code es una herramienta de programación que usan desarrolladores, por lo que afecta a su trabajo.
No	Infraestructura básica	Es un producto concreto de un único fabricante, no software básico que casi todos los equipos operan.
Sí	Herramienta popular	Es un asistente de programación de Anthropic de uso extendido entre desarrolladores.
No	Se está explotando	Infobae y Xataka describen credenciales expuestas en GitHub, sin informar de ataques observados.
No	Exploit público	Infobae y Xataka no mencionan código de explotación ni prueba de concepto publicados.
No	En remoto, sin credenciales	Las fuentes describen archivos subidos por desarrolladores a GitHub, no un ataque remoto sin credenciales.
No	Compromiso total	Infobae y Xataka hablan de exposición de contraseñas y claves, no de ejecución de código ni control total.
Sí	Secretos expuestos	Infobae: la empresa Apiiro halló 1.122 archivos con contraseñas y claves expuestas en GitHub.
No	Cadena de suministro	Las fuentes describen filtración de configuraciones, no un paquete legítimo ni un canal de distribución comprometido.
No	Aún sin corrección	Las fuentes consultadas no informan de una corrección ni de su ausencia.

Cronología

Cobertura completa · 4 fuentes

Visto por primera vez hace 3 días · 4 fuentes · La noticia completa · Cómo se deciden los niveles