Foto di Max Bender.

GitHub ha confermato una violazione che ha portato all'accesso a circa 3.800 repository interni, dopo che un dispositivo aziendale di un dipendente è stato compromesso tramite un'estensione malevola di Visual Studio Code. L'intrusione è stata individuata e isolata rapidamente, ma il gruppo responsabile, noto come TeamPCP, ha già messo in vendita il pacchetto di dati sottratti per una cifra di partenza di 50.000 dollari. GitHub non ha divulgato il nome dell'estensione coinvolta; ha invece affermato di aver avviato immediatamente la rotazione delle credenziali più sensibili, dando priorità ai segreti con maggiore impatto operativo.

Il gruppo TeamPCP ha rivendicato l'attacco pubblicando annunci su piattaforme del dark web, offrendo il pacchetto di repository sottratti senza richiedere un riscatto diretto a GitHub ma semplicemente mettendolo in vendita. Il collettivo ha dichiarato: «Come sempre, non si tratta di un riscatto. Se non troviamo un acquirente, i dati vengono pubblicati gratuitamente», una frase che conferma l'intento di monetizzare il furto piuttosto che negoziare. Le informazioni sottratte includono codice sorgente e strutture interne, ma non repository dei clienti. GitHub ha infatti specificato che l'attività malevola ha riguardato esclusivamente repository interni, escludendo impatti su organizzazioni e progetti ospitati dagli utenti. L'indagine rimane in corso, con un monitoraggio continuo dei log e ulteriori verifiche sulle credenziali ruotate.

TeamPCP è un gruppo già noto per operazioni di questo tipo. In precedenza, il gruppo aveva colpito la Commissione Europea, sottraendo oltre 90 GB di dati sensibili tramite la compromissione dello strumento di scansione Trivy. L'attacco a GitHub si inserisce in un contesto più ampio di campagne mirate contro sviluppatori e strumenti di programmazione. Le estensioni di Visual Studio Code rappresentano un vettore di attacco particolarmente efficace, poiché dispongono di accesso completo ai file locali, alle chiavi SSH, ai token cloud e ad altri segreti memorizzati sulle workstation degli sviluppatori.

GitHub ha dichiarato che continuerà a monitorare l'infrastruttura per individuare eventuali attività successive all'intrusione e che pubblicherà un rapporto completo sull'incidente una volta concluse le analisi. Nel frattempo, sono state implementate misure di mitigazione aggiuntive per ridurre il rischio di compromissioni simili, incluse verifiche più rigorose sulle estensioni installate e controlli avanzati sugli endpoint aziendali.

Spunti di approfondimento:

Copilot cambia modello per limitarne l'utilizzo

Microsoft pubblica il codice originale di 86‑DOS 1.00

GitHub sospende i nuovi abbonamenti Copilot

Il codice dell'Apollo 11 è online: i programmi che portarono l'uomo...