La estafa en GitHub que roba credenciales: cómo funciona y cómo protegerte del nuevo peligro en la programación
El 2025 apenas ha comenzado y ya ha sido testigo de una preocupante escalada en el número y la sofisticación de los ciberataques. Algunas de las víctimas más destacadas de estos primeros meses del año han sido organizaciones de peso como Telefónica, la Guardia Civil española o incluso la misma OTAN. Detrás de algunos de estos ataques se encuentra un joven de apenas 18 años, conocido en los círculos de cibercrimen como Natohub, también identificado como M100 o DSF. Lo más inquietante: comenzó su actividad cuando tenía solo 13 años.
Pero este caso no es aislado. Cada día surgen nuevas formas de engañar, infiltrar sistemas y robar datos. Una de las amenazas más insidiosas y menos conocidas es la que afecta a plataformas utilizadas por millones de desarrolladores en todo el mundo, como GitHub o GitLab. Lo que parece un simple proyecto de código abierto puede esconder un ataque bien diseñado. La técnica se está utilizando para comprometer dispositivos, robar credenciales y extender infecciones dentro de organizaciones.
Un ataque disfrazado de oportunidad
El peligro se presenta de una forma inesperada: a través de ofertas laborales falsas enviadas a desarrolladores de software. La estrategia es simple, pero muy efectiva. Los ciberdelincuentes se hacen pasar por reclutadores y contactan a desarrolladores con perfiles públicos en plataformas como GitHub, LinkedIn o GitLab. Les ofrecen trabajos extremadamente bien remunerados —en algunos casos, se mencionan cifras tan llamativas como 80.000 dólares mensuales por apenas 25 horas semanales—, apelando así a la ambición y el deseo de mejora profesional.
Una vez que la conversación avanza, el supuesto reclutador entrega al desarrollador un repositorio privado con una prueba técnica o una tarea inicial, como desarrollar una simple aplicación de ajedrez o algún sistema trivial. Lo que el desarrollador no sabe es que ese repositorio contiene código malicioso cuidadosamente insertado.
¿Qué busca el código malicioso?
Tal como advirtió públicamente Emiliano Billi, CEO de Cexar.io y CTO de Kollectiff, a través de su cuenta de LinkedIn: “El código incluye software malicioso que roba credenciales o infecta tu equipo”. Esta advertencia ha sido confirmada por varios desarrolladores que han sufrido o detectado este tipo de ataques.
El malware puede realizar múltiples acciones, dependiendo de su programación. En muchos casos, se trata de robo de credenciales, como contraseñas guardadas en navegadores, claves API, tokens de acceso a servicios en la nube, o incluso accesos SSH. En otros, el código puede descargar puertas traseras, que permiten el control remoto del sistema del desarrollador, convirtiéndolo en un punto de entrada para atacar redes corporativas.
Una amenaza creciente dentro del ecosistema open source
La elección de GitHub como plataforma para ejecutar este tipo de ataques no es casual. Se trata de una de las herramientas de colaboración más utilizadas en el mundo por programadores, empresas y organizaciones de todo tipo. Esto la convierte en una puerta de entrada ideal, especialmente si se logra infiltrar a un desarrollador dentro de una empresa tecnológica o en una startup sin fuertes controles de seguridad.
El auge del trabajo remoto y la contratación internacional de freelancers en tecnología ha multiplicado las oportunidades para este tipo de estafas. Muchos desarrolladores trabajan desde casa, sin una infraestructura de seguridad empresarial, lo que facilita que sus equipos sean comprometidos sin que nadie lo note hasta que ya es demasiado tarde.
¿Cómo protegerte de esta estafa?
Para evitar caer en esta trampa, es fundamental adoptar una actitud crítica y aplicar medidas preventivas. Aquí van algunas recomendaciones esenciales para desarrolladores y usuarios técnicos:
- Desconfía de las ofertas demasiado buenas para ser ciertas
Si alguien te ofrece una suma desorbitada por un trabajo sencillo y de baja dedicación, probablemente sea una estafa. Verifica siempre el nombre de la empresa, su presencia online y la identidad del reclutador. Busca referencias y opiniones de otros desarrolladores en foros como Reddit, Stack Overflow o LinkedIn. - Nunca ejecutes código sin revisarlo
Aunque estés participando en una prueba técnica, revisa detenidamente el código fuente antes de ejecutarlo. No te limites a correr scripts sin entender lo que hacen. Busca llamadas sospechosas, uso de dependencias desconocidas o scripts ofuscados que puedan esconder comportamientos maliciosos. - Usa entornos aislados para pruebas
Si decides probar código ajeno, hazlo siempre dentro de una máquina virtual o en un entorno controlado, como Docker o sandbox. Distribuciones como Kali Linux permiten crear un espacio de pruebas seguro, ideal para este tipo de situaciones. Así, si algo sale mal, tu sistema principal no se verá comprometido. - Utiliza una VPN y desactiva el acceso a recursos sensibles
Proteger tu conexión mediante una VPN puede evitar que el malware filtre información a servidores externos. Además, cuando trabajes en pruebas técnicas, evita hacerlo en el mismo equipo donde guardas tus claves o accedes a cuentas sensibles. - Consulta foros y comunidades de seguridad
Antes de ejecutar un código sospechoso, es buena idea buscar si otros usuarios lo han analizado. Sitios como GitHub Discussions, Hacker News, y foros especializados en ciberseguridad pueden ofrecer información muy valiosa. La comunidad es una aliada fundamental en la lucha contra estas amenazas. - Reporta el incidente si sospechas que has sido víctima
Si descubres un código malicioso o crees haber sido víctima de este tipo de estafa, repórtalo a GitHub o a la plataforma correspondiente. También puedes alertar a la comunidad para evitar que otros caigan en la misma trampa.
Un riesgo global con consecuencias reales
El hecho de que un adolescente autodidacta como Natohub haya podido comprometer redes de grandes organismos pone de manifiesto que los ataques no requieren grandes recursos, solo conocimiento, oportunidad y descuido por parte de la víctima. La ciberdelincuencia ya no es exclusiva de grupos organizados o estados-nación: también puede venir de usuarios individuales con motivaciones económicas o ideológicas.
La estafa de GitHub no es nueva, pero ha ganado fuerza en los últimos tiempos. Su éxito se basa en la ingeniería social, en explotar el interés genuino de muchos desarrolladores por mejorar profesionalmente y en el uso del propio ecosistema del código abierto como canal de ataque.
En un mundo cada vez más interconectado, la ciberseguridad ya no es solo cosa de expertos, sino una responsabilidad colectiva. Tanto desarrolladores independientes como grandes empresas deben reforzar sus prácticas, educarse sobre amenazas emergentes y fomentar una cultura de seguridad digital.
Las plataformas como GitHub son vitales para el desarrollo tecnológico global, pero también pueden convertirse en armas si se usan con fines maliciosos. Por eso, la prevención, el escepticismo y la educación continua son las mejores defensas ante una amenaza que no para de evolucionar.
Desconfía, verifica y consulta. Porque en el mundo digital, un clic imprudente puede ser el inicio de una catástrofe.