Komunitas pengembang software global menghadapi ancaman baru setelah terungkapnya kampanye serangan siber berskala besar bernama Megalodon.

Serangan ini dilaporkan berhasil menyusupi lebih dari 5.500 repositori GitHub melalui commit berbahaya.

>>> Brasil Hancurkan Haiti 3-0 di Piala Dunia 2026

Aktivitas ilegal tersebut dirancang untuk mencuri kredensial, token akses, serta berbagai rahasia pengembangan software.

Para peneliti keamanan siber menemukan bahwa Megalodon memanfaatkan workflow GitHub Actions yang disisipkan ke dalam repositori target melalui commit otomatis yang tampak sah.

Dalam kurun waktu sekitar enam jam, pelaku berhasil mendorong lebih dari 5.700 commit berbahaya ke ribuan repositori publik.

Skala serangan tersebut menjadikannya salah satu insiden supply chain attack terbesar yang pernah tercatat di ekosistem GitHub dalam beberapa tahun terakhir.

Peneliti keamanan menemukan bahwa pelaku menggunakan identitas palsu yang menyerupai akun bot otomatis, seperti build-bot dan auto-ci.

Nama-nama tersebut lazim digunakan dalam proses pengembangan software guna menghindari kecurigaan pemilik repositori.

Apabila commit tersebut diterima atau digabungkan ke dalam proyek, workflow GitHub Actions yang telah dimodifikasi akan dijalankan secara otomatis.

Pada tahap inilah malware mulai mengumpulkan berbagai informasi sensitif dari lingkungan CI/CD milik korban.

Data yang menjadi sasaran mencakup token akses cloud, kredensial AWS, Google Cloud, Azure, kunci SSH, token OIDC, konfigurasi Kubernetes, kredensial Terraform, hingga berbagai rahasia dalam pipeline pengembangan.

Dampak dan Risiko Rantai Pasok

Para analis memperingatkan bahwa dampak Megalodon tidak hanya terbatas pada repositori yang terinfeksi secara langsung.

>>> Celah Keamanan Permanen di iPhone Lawas Tak Bisa Ditambal Lewat Update iOS

Jika kode yang telah disusupi digunakan dalam proyek lain atau diterbitkan ke ekosistem seperti npm, ancaman dapat menyebar lebih luas ke pengguna akhir.