GitHub confirma la intrusión maliciosa de una extensión de VS Code; se robaron alrededor de 3.800 repositorios internos

GitHub publicó en X el 20 de mayo una actualización sobre la investigación de un incidente de seguridad, confirmando que un dispositivo de un empleado fue comprometido mediante una extensión de VS Code con código malicioso, lo que llevó al robo de aproximadamente 3.800 repositorios internos. GitHub indica que no hay evidencia de que la información de clientes almacenada fuera de los repositorios de código internos de GitHub se haya visto afectada. GitHub ha eliminado la extensión maliciosa, aislado los terminales afectados y ha rotado credenciales críticas.

Detalles del incidente de seguridad confirmados por GitHub

De acuerdo con la confirmación de la publicación oficial de X de GitHub:

Alcance afectado: aproximadamente 3.800 repositorios internos de GitHub (la cifra que afirma el atacante es básicamente coherente con los resultados de la investigación de GitHub)

Causa raíz: los dispositivos de los empleados fueron comprometidos

Vector de ataque: una extensión de VS Code con código malicioso (ataque a la cadena de suministro de desarrolladores)

Impacto en clientes: GitHub confirma que la filtración de datos quedó «estrictamente limitada a los repositorios de código internos de GitHub»; no se hallaron evidencias de que datos de clientes, empresas, organizaciones o repositorios se vieran afectados

Confirmación sobre los actores de la amenaza

De acuerdo con lo divulgado por Dark Web Informer (organismo de inteligencia de amenazas): el actor de amenazas, alias TeamPCP, ya había publicado en la dark web información de productos para vender el código fuente interno de GitHub y datos de organizaciones antes del anuncio de GitHub. H2S Media informó que TeamPCP y la organización detrás del malware del gusano Shai-Hulud son la misma organización; dicho malware ha causado recientemente infecciones generalizadas en librerías de código abierto.

Medidas de respuesta adoptadas

De acuerdo con la confirmación de la declaración oficial de GitHub:

Completado: eliminación de la extensión maliciosa de VS Code, aislamiento de los terminales afectados y rotación prioritaria de las credenciales críticas más impactadas (finalizado el mismo día que se detectó el incidente y durante la noche)

En curso: análisis de registros, verificación de la rotación de credenciales, supervisión de actividades posteriores y una investigación integral de respuesta al incidente

Planificado: publicar un informe completo después de que termine la investigación; si se detecta un impacto más amplio, notificar a los clientes mediante los canales existentes de respuesta a incidentes

Antecedentes de la reciente confirmación de incidentes de seguridad en GitHub

De acuerdo con la línea de tiempo reciente confirmada por H2S Media:

Hace tres semanas: investigadores de Wiz revelaron CVE-2026-3854, una vulnerabilidad crítica de ejecución remota de código (RCE) que permite que cualquier usuario autenticado ejecute comandos arbitrarios en el servidor backend de GitHub mediante un solo comando de git push

La semana pasada: el repositorio de GitHub de SailPoint fue comprometido debido a una vulnerabilidad en una aplicación de terceros

17 de mayo de 2026: Grafana Labs confirmó que se filtraron tokens de GitHub; el actor de amenazas obtuvo acceso a repositorios e intentó extorsionar

Preguntas frecuentes

¿Esta intrusión afectó los repositorios públicos de GitHub o los repositorios de usuarios?

Según la declaración oficial de GitHub, la filtración de datos «quedó estrictamente limitada a los repositorios internos de GitHub» y, actualmente, no hay evidencia de que datos de clientes, empresas, organizaciones o repositorios se hayan visto afectados. Los sistemas orientados a clientes no se vieron afectados.

¿Cuál fue la puerta de entrada de este ataque y cómo se puede prevenir?

Según lo confirmado por GitHub, el vector de ataque fue una extensión de VS Code con código malicioso, que forma parte de un ataque a la cadena de suministro de desarrolladores. El fundador de Binance, CZ, recomendó: «Las llaves API en repositorios privados deben revisarse y reemplazarse de inmediato».

¿Cuándo publicará GitHub el informe completo del incidente?

De acuerdo con la declaración oficial de GitHub, el informe completo se publicará después de que termine la investigación, pero aún no se ha anunciado el momento exacto.