Un empleado de GitHub instaló una extensión maliciosa de Visual Studio Code y, a partir de ese único dispositivo comprometido, el grupo criminal TeamPCP logró acceder a aproximadamente 3.800 repositorios internos de la plataforma. GitHub confirmó el incidente, aisló el equipo afectado y rotó credenciales críticas, mientras los atacantes ofrecían el material robado en foros clandestinos por al menos 50.000 dólares. Es uno de los ataques a infraestructura interna de mayor escala documentados contra la plataforma que aloja el código de decenas de miles de equipos de desarrollo en todo el mundo.
Cómo entró el atacante
El vector de acceso fue una extensión de Visual Studio Code, el editor de código más usado por desarrolladores a nivel global. Las extensiones de VS Code funcionan con permisos amplios dentro del entorno del desarrollador: pueden leer archivos del sistema, interceptar credenciales, claves SSH, tokens de acceso y cualquier secreto almacenado en la máquina. En este caso, la extensión maliciosa estaba disponible en el propio marketplace oficial de VS Code, lo que le daba una apariencia legítima. Una vez instalada por el empleado, los atacantes obtuvieron acceso suficiente para moverse dentro de la red interna de GitHub.
GitHub eliminó la versión comprometida del marketplace una vez detectado el incidente, aunque la empresa no publicó el nombre exacto de la extensión ni los detalles técnicos del mecanismo de exfiltración. Tampoco hay confirmación pública sobre si los secretos rotados incluían claves con potencial impacto externo.
Qué dijo GitHub y qué dijo el grupo atacante
La empresa confirmó que detectó y contuvo el incidente, aisló el endpoint comprometido e inició una investigación interna de respuesta a incidentes. En su evaluación preliminar, GitHub indicó que el alcance del compromiso se limita a repositorios internos propios y que la cifra de 3.800 repositorios mencionada por los atacantes es, en sus propias palabras, “directionally consistent” con lo que encontraron internamente. La compañía fue explícita en señalar que no tiene evidencia de compromiso de datos de clientes externos, repositorios públicos ni cuentas de usuarios de la plataforma.
TeamPCP, por su parte, publicó en un foro criminal que tenía en su poder código fuente interno, acceso a organizaciones internas y alrededor de 4.000 repositorios privados. El grupo aclaró que su intención no era un rescate, una exigencia de dinero a la víctima para no publicar o destruir los datos, sino vender el material a un tercero interesado. También amenazó con filtrar todo de forma gratuita si no aparecía un comprador antes de que venciera su plazo.
Por qué GitHub es un objetivo sensible
GitHub no es solo una plataforma para desarrolladores: es infraestructura crítica del ecosistema de software global. La plataforma, adquirida por Microsoft en 2018 por 7.500 millones de dólares, aloja repositorios de prácticamente todas las grandes empresas tecnológicas, proyectos open source de base y herramientas de desarrollo que corren en producción en millones de sistemas. Un acceso a repositorios internos de la propia empresa puede exponer código fuente de herramientas internas, configuraciones de infraestructura, pipelines de build y, potencialmente, secretos operativos que permitan escalar el ataque hacia otros sistemas.
El riesgo más preocupante para el sector no es el incidente en sí, sino su posible derivación en un ataque de cadena de suministro de software, cuando un atacante compromete una herramienta usada por muchos equipos para inyectar código malicioso aguas abajo. GitHub no confirmó que ese escenario haya ocurrido, pero la sola posibilidad explica la reacción rápida de la empresa para rotar credenciales y contener el endpoint afectado.
El riesgo de los plugins de desarrollo
Este incidente vuelve a poner el foco sobre un vector de ataque que gana terreno entre grupos criminales: las extensiones y plugins del entorno de desarrollo. A diferencia del malware tradicional, una extensión maliciosa de VS Code no necesita explotar una vulnerabilidad del sistema operativo ni engañar al usuario con un archivo ejecutable sospechoso. Basta con publicarla en el marketplace con un nombre creíble, esperar a que un desarrollador la instale y, desde ahí, operar con los permisos que el propio editor otorga por diseño.
Este tipo de ataque no es nuevo: investigadores de seguridad llevan años documentando extensiones falsas que imitan a otras populares, con nombres casi idénticos, estadísticas de instalación infladas artificialmente o íconos copiados, para colarse en entornos corporativos. El caso de GitHub confirma que el riesgo aplica incluso a equipos con procesos de seguridad maduros. Lo que no está claro todavía es si la extensión comprometida era una imitación de otra legítima o si fue diseñada desde cero para este ataque específico.
Por ahora, GitHub no publicó la identidad del responsable dentro de TeamPCP, el nombre de la extensión comprometida ni si los datos terminaron siendo vendidos o filtrados. La investigación interna sigue abierta y es probable que los detalles técnicos completos no se hagan públicos hasta que concluya. Lo que sí quedó establecido es que el punto de entrada fue una herramienta del flujo de trabajo cotidiano de cualquier desarrollador, lo cual amplía el perímetro de riesgo mucho más allá de los servidores o las redes corporativas.
