GitGuardian опубликовала исследование, в котором 334 762 утёкших JWT оказались действующими на момент проверки. Это токены из открытых репозиториев GitHub, обнаруженные с 1 марта по 1 сентября 2026 года; результаты раскрыты 13 ноября.

JWT — цифровое удостоверение, которым приложение подтверждает личность или право доступа. Корректная подпись показывает, что содержимое не изменили, но сама по себе не доказывает, что сервис ещё принимает токен. Исследователи сначала определяли сервис по полям внутри JWT, затем проверяли ответ его интерфейса. Так можно отделить действующий доступ от уже бесполезной утечки.

В выборке было 2,42 млн уникальных токенов. Для 86% удалось установить сервис, а однозначный результат проверки получен примерно для трёх четвертей этой группы. Помимо действующих, около 1,24 млн токенов сервисы отвергли. Остальные остались без вердикта: проверка отсутствовала или завершилась ошибкой.

Масштаб требует оговорки: 58% распознанных токенов относятся к стримингу и IPTV, крупнейший источник — бесплатный Pluto TV. Ещё 30% связаны с рабочими сервисами, включая Supabase и n8n. Поэтому сотни тысяч действующих токенов нельзя приравнять к стольким же взломанным аккаунтам или кражам данных. Результат показывает, почему подсчёта опубликованных секретов недостаточно: важно установить, куда они дают доступ и сохраняется ли он.