GitHub bị tấn công: 3.800 repository nội bộ bị đánh cắp

Tóm tắt nhanh

GitHub xác nhận bị truy cập trái phép vào hệ thống nội bộ sau khi thiết bị của một nhân viên bị xâm nhập.
Khoảng 3.800 repository nội bộ đã bị exfiltrate, trong khi nhóm hacker TeamPCP tuyên bố đứng sau vụ tấn công.
Sự cố làm dấy lên lo ngại lớn về an ninh chuỗi cung ứng phần mềm và nguy cơ lộ API key từ các repo private.

GitHub xác nhận bị truy cập trái phép vào hệ thống nội bộ

Nền tảng phát triển phần mềm hàng đầu thế giới GitHub vừa xác nhận đang điều tra một vụ truy cập trái phép liên quan tới hệ thống repository nội bộ của công ty.

Theo thông báo được GitHub công bố hôm thứ Tư, nguyên nhân ban đầu xuất phát từ việc thiết bị của một nhân viên bị xâm nhập. Tin tặc sau đó đã lợi dụng quyền truy cập này để thực hiện hoạt động đánh cắp dữ liệu từ các kho mã nguồn nội bộ.

GitHub cho biết khoảng 3.800 repository đã bị exfiltrate - thuật ngữ dùng để mô tả việc dữ liệu bị sao chép hoặc chuyển ra ngoài trái phép.

Dù chưa phát hiện dấu hiệu dữ liệu khách hàng bị ảnh hưởng bên ngoài các repository nội bộ, công ty khẳng định đang giám sát chặt chẽ hạ tầng nhằm phát hiện nguy cơ tấn công tiếp theo.

Extension VS Code độc hại trở thành cửa ngõ tấn công

Trong bản cập nhật sau đó, GitHub tiết lộ cuộc tấn công liên quan tới một extension bị “đầu độc” trên Visual Studio Code (VS Code).

Theo mô tả của công ty, extension này đã bị cài mã độc nhằm tạo backdoor cho hacker truy cập vào thiết bị của nhân viên.

Ngay sau khi phát hiện sự cố, GitHub cho biết đã nhanh chóng gỡ bỏ phiên bản extension độc hại, cô lập endpoint bị ảnh hưởng và triển khai quy trình ứng phó khẩn cấp.

Sự việc đang khiến cộng đồng công nghệ đặc biệt lo ngại bởi VS Code hiện là một trong những công cụ lập trình phổ biến nhất thế giới, được hàng triệu developer sử dụng mỗi ngày.

Việc extension độc hại có thể vượt qua quy trình kiểm duyệt để xuất hiện trong hệ sinh thái công cụ phát triển phần mềm tiếp tục cho thấy rủi ro ngày càng lớn của các cuộc tấn công supply-chain.

Nhóm hacker TeamPCP nhận trách nhiệm vụ tấn công

Song song với thông báo từ GitHub, một nhóm hacker có tên TeamPCP đã lên tiếng nhận trách nhiệm cho vụ việc.

Theo nhiều báo cáo an ninh mạng, nhóm này đang cố gắng rao bán dữ liệu GitHub trên internet và tuyên bố sở hữu gần “4.000 repository private code” liên quan tới nền tảng chính của GitHub cùng nhiều tổ chức nội bộ khác.

Các chuyên gia bảo mật mô tả TeamPCP là một nhóm hacker có mức độ tự động hóa rất cao, chuyên biến các công cụ phát triển phần mềm bị xâm nhập thành hệ thống đánh cắp credential nhằm trục lợi tài chính.

Theo SecurityWeek, nhóm này thường tập trung vào developer tools bởi đây là nơi chứa lượng lớn API key, token truy cập và dữ liệu hạ tầng nhạy cảm.

CZ cảnh báo nguy cơ lộ API key từ repo private

Sau khi thông tin lan rộng, nhà sáng lập Changpeng Zhao của Binance đã lên tiếng cảnh báo cộng đồng developer và các công ty công nghệ.

Ông cho rằng ngay cả các repository private cũng không còn tuyệt đối an toàn trong bối cảnh các cuộc tấn công supply-chain ngày càng tinh vi.

“Nếu bạn đang lưu API key trong code, kể cả ở private repo, đây là lúc cần kiểm tra lại và thay đổi ngay lập tức,” CZ nhấn mạnh.

Lời cảnh báo này phản ánh thực tế rằng nhiều công ty vẫn vô tình lưu credential trực tiếp trong source code thay vì sử dụng các giải pháp secret management chuyên dụng.

Hàng loạt vụ tấn công supply-chain liên tiếp xuất hiện

Vụ việc của GitHub diễn ra chỉ một ngày sau khi Grafana Labs xác nhận trở thành nạn nhân của một cuộc tấn công supply-chain khác.

Theo Grafana Labs, hacker đã truy cập vào repository GitHub của công ty và tải xuống toàn bộ codebase trước khi gửi yêu cầu đòi tiền chuộc kèm đe dọa công khai dữ liệu.

Công ty cho biết họ đã từ chối đáp ứng yêu cầu của nhóm tấn công.

Đáng chú ý hơn, sự cố lần này cũng xảy ra không lâu sau khi lỗ hổng nghiêm trọng CVE-2026-3854 được công khai vào ngày 28/4.

Lỗ hổng này cho phép người dùng đã xác thực thực thi lệnh tùy ý trên máy chủ GitHub, mở ra nguy cơ xâm nhập hàng loạt repository công khai và riêng tư.

Theo Wiz Research - đơn vị phát hiện lỗ hổng hàng triệu repository thuộc nhiều tổ chức và cá nhân từng có nguy cơ bị truy cập trái phép trên các node bị ảnh hưởng.

An ninh chuỗi cung ứng phần mềm trở thành “điểm nóng” mới

Các chuyên gia an ninh mạng nhận định những vụ việc liên tiếp gần đây cho thấy hacker đang ngày càng chuyển hướng sang tấn công chuỗi cung ứng phần mềm thay vì chỉ nhắm vào người dùng cuối.

Thay vì tấn công trực tiếp từng cá nhân, hacker giờ đây tìm cách xâm nhập vào công cụ mà hàng triệu developer sử dụng mỗi ngày như IDE, package manager hay extension ecosystem.

Một khi kiểm soát được các mắt xích này, phạm vi ảnh hưởng của cuộc tấn công có thể lan rộng với tốc độ cực nhanh.

Trong bối cảnh AI đang giúp hacker tự động hóa quá trình khai thác lỗ hổng và tạo mã độc, giới chuyên gia cho rằng các công ty công nghệ sẽ phải đầu tư mạnh hơn vào bảo mật developer infrastructure nếu không muốn trở thành mục tiêu tiếp theo.

Đọc thêm