GitHub potwierdza wyciek prawie 4 tysięcy repozytoriów. Ofiarą złośliwego rozszerzenia VS Code

GitHub, platforma używana przez ponad 180 milionów programistów i 90% firm z listy Fortune 100, potwierdziła naruszenie swoich wewnętrznych repozytoriów. Do wycieku doszło po tym, jak jeden z pracowników zainstalował złośliwe rozszerzenie do Visual Studio Code. Grupa TeamPCP, która stoi za atakiem, twierdzi, że uzyskała dostęp do około 4 tysięcy prywatnych repozytoriów z kodem źródłowym.

Jak doszło do naruszenia bezpieczeństwa?

Jak podaje BleepingComputer, GitHub poinformował, że naruszenie dotyczy około 3,8 tysiąca wewnętrznych repozytoriów. Firma podkreśla, że na obecnym etapie śledztwa nie ma dowodów, by doszło do wycieku danych klientów przechowywanych poza wewnętrznymi repozytoriami. „Prowadzimy dochodzenie w sprawie nieautoryzowanego dostępu do wewnętrznych repozytoriów GitHub” – powiedział przedstawiciel firmy w rozmowie z BleepingComputer. „Na razie nie mamy dowodów na wpływ na informacje klientów przechowywane poza wewnętrznymi repozytoriami GitHub (takimi jak przedsiębiorstwa, organizacje i repozytoria naszych klientów), ale uważnie monitorujemy naszą infrastrukturę pod kątem dalszych działań”.

Grupa TeamPCP, która wcześniej była łączona m.in. z atakami na Aqua Security Trivy oraz kampanią „Mini Shai-Hulud”, zgłosiła swoje żądania na forum Breached. Za wyciek kodu źródłowego zażądali co najmniej 50 tysięcy dolarów, grożąc upublicznieniem danych, jeśli nie znajdą kupca. To nie pierwszy raz, gdy ta grupa uderza w platformy deweloperskie – wcześniej kompromitowali repozytoria na PyPI, NPM i Dockerze.

Dlaczego złośliwe rozszerzenie VS Code jest tak niebezpieczne?

Visual Studio Code to jeden z najpopularniejszych edytorów kodu, używany przez miliony programistów na całym świecie. Rozszerzenia do niego mogą mieć dostęp do plików, terminala i sieci, co czyni je potencjalnie groźnym wektorem ataku. W tym przypadku złośliwe rozszerzenie pozwoliło atakującym na uzyskanie dostępu do wewnętrznych repozytoriów GitHub. Według doniesień grupa TeamPCP wykorzystała podobną technikę w przeszłości, np. w ataku na Nx Console 18.95.0, który również był wymierzony w programistów VS Code i kradł dane uwierzytelniające.

Incydent ten pokazuje, że nawet duże firmy technologiczne, dysponujące zaawansowanymi zabezpieczeniami, mogą paść ofiarą ataku poprzez zaufane, ale nieodpowiednio zweryfikowane rozszerzenia. Dla polskich zespołów deweloperskich i firm korzystających z VS Code to sygnał, aby dokładnie kontrolować, jakie rozszerzenia są instalowane w środowisku pracy.

Co to oznacza dla użytkowników GitHub?

Na szczęście GitHub zapewnia, że nie ma dowodów, by dane klientów – ich repozytoria, hasła czy tokeny – zostały naruszone. Firma zobowiązała się do powiadomienia wszystkich dotkniętych klientów za pomocą ustalonych kanałów, jeśli w trakcie dochodzenia pojawią się jakiekolwiek dowody na wpływ ataku. Niemniej jednak wyciek wewnętrznego kodu źródłowego GitHub może mieć poważne konsekwencje – może ujawnić luki w zabezpieczeniach, które atakujący mogą wykorzystać w przyszłości, lub posłużyć do opracowania bardziej zaawansowanych ataków na platformę.

Grupa TeamPCP ma na koncie także inne incydenty, które pokazują, że ich celem są nie tylko pojedyncze firmy, ale cały łańcuch dostaw oprogramowania. W marcu 2026 roku skompromitowali skaner podatności Trivy firmy Aqua Security, co doprowadziło do kaskadowych naruszeń w obrazach Dockera i projekcie KICS. To pokazuje, że ataki na narzędzia deweloperskie mogą mieć daleko idące skutki.

Jak zabezpieczyć się przed podobnymi atakami?

Incydent ten przypomina o kilku podstawowych zasadach bezpieczeństwa w środowisku programistycznym. Po pierwsze, warto ograniczyć liczbę instalowanych rozszerzeń do niezbędnego minimum i korzystać wyłącznie z zaufanych źródeł. Po drugie, zespoły powinny wdrożyć mechanizmy kontroli dostępu i monitorowania, aby wykrywać nietypowe działania rozszerzeń. Po trzecie, kluczowe jest regularne aktualizowanie oprogramowania i narzędzi deweloperskich. W przypadku VS Code warto rozważyć korzystanie z oficjalnego rejestru rozszerzeń i unikać instalowania niezweryfikowanych pakietów. W szerszej perspektywie firmy powinny zadbać o bezpieczeństwo łańcucha dostaw – od narzędzi programistycznych po biblioteki zewnętrzne.

GitHub kontynuuje dochodzenie i obiecuje informować o kolejnych ustaleniach. Dla programistów i administratorów to kolejny sygnał, że każdy element ekosystemu deweloperskiego może stać się celem ataku i wymaga odpowiedniego zabezpieczenia.