Secretos expuestos en Docker Hub: 10.456 imágenes revelan credenciales
Docker Hub aloja un volumen preocupante de credenciales y secretos activos: más de 10.000 imágenes públicas han mostrado secretos expuestos en Docker Hub. El hallazgo, realizado por Flare, subraya un fallo crítico en la higiene de la cadena de suministro de software. En noviembre de 2025 se identificaron 10.456 contenedores que filtraban uno o más secretos, incluyendo credenciales para servicios en la nube, pipelines CI/CD y plataformas de IA. El impacto es inmediato: un pull podría permitir a atacantes moverse por entornos de producción. No es un fallo teórico; son credenciales vigentes que requieren acción urgente.
Impacto inmediato de los secretos expuestos en Docker Hub
Las credenciales expuestas afectan a múltiples capas de la operación TI, desde entornos de desarrollo hasta producción. Un atacante, si accede a estas credenciales, podría escalar privilegios, comprometer pipelines y exfiltrar datos críticos. En consecuencia, la confianza de clientes y socios se ve afectada de forma rápida y directa.
Descubrimiento y cifras clave sobre secretos expuestos en Docker Hub
La mayor parte de los secretos detectados son claves API para servicios de IA, con casi 4.000 tokens de acceso a modelos hallados en estado activo. Además, casi la mitad de las imágenes infractoras contenían cinco o más valores expuestos, lo que facilita intrusión múltiple con un único pull.
- Contenedores filtrando secretos: 10.456
- Tokens de acceso a modelos IA: casi 4.000
- Imágenes con 5 o más valores expuestos: casi la mitad
- Ejemplos de bancos y corporaciones: 430 contenedores vinculados a entidades financieras
El informe de Flare también destaca el fenómeno de shadow IT: cuentas personales de Docker Hub que quedan fuera de la gobernanza corporativa y alojan credenciales de alto valor. En un caso citado, una empresa Fortune 500 viajó credenciales expuestas a través de una cuenta personal, sin identificadores visibles que vinculen la imagen a la organización. Para remediar, Flare recomienda evitar incrustar secretos en imágenes durante el build y utilizar herramientas de gestión de secretos y vaults, credenciales efímeras y escaneo automatizado. Ver Flare: Docker Hub secrets expuestos y la guía de Docker sobre gestión de secretos: Flare: Docker Hub secrets expuestos y la guía de Docker sobre gestión de secretos: Gestión de secretos en Docker.
Medidas y respuesta de la industria
La industria debe acelerar la adopción de controles de acceso, gobernanza de repositorios y monitorización de imágenes para reducir la superficie de exposición. Por lo tanto, las prácticas deben exigir rotación de credenciales, revisión de build context y configuración de vaults para secrets. Este hallazgo marca un hito en la seguridad de contenedores y podría impulsar cambios regulatorios y de gobernanza entre proveedores y clientes de TI, con un impacto inmediato en proyectos basados en Docker y pipelines de entrega continua.
