Qué pasó
En mayo de 2026, GitHub confirmó que había sido atacado. El 19 de mayo, el grupo criminal TeamPCP anunció en un foro de filtraciones (Breached) que vendía el código fuente interno y datos de organizaciones de GitHub, unos "~4.000 repositorios de código privado", con una puja mínima de 50.000 dólares. El grupo amenazó con filtrarlo todo gratis si no aparecía comprador.
Ese mismo día, GitHub dijo que investigaba un acceso no autorizado a sus repositorios internos. El 20 de mayo confirmó el incidente en publicaciones de su cuenta oficial en X:
"Nuestra evaluación actual es que la actividad implicó la exfiltración solo de repositorios internos de GitHub. Las afirmaciones del atacante de ~3.800 repositorios son, en líneas generales, coherentes con nuestra investigación hasta ahora."
Cómo entraron los atacantes
La puerta de entrada fue el equipo de un empleado de GitHub que instaló una extensión envenenada de VS Code. El 21 de mayo se reveló que era Nx Console, una herramienta legítima y popular. Una versión maliciosa (18.95.0, registrada como CVE-2026-48027) estuvo disponible en el Visual Studio Marketplace unos 18 minutos. Fue suficiente.
Según el aviso de seguridad de Nx Console, la cuenta de un desarrollador del proyecto ya había sido comprometida en otro ataque a la cadena de suministro, el caso TanStack, parte de la campaña "Mini Shai-Hulud". Con las credenciales robadas, los atacantes ejecutaron workflows en el repositorio de Nx Console y publicaron la versión alterada.
La respuesta de GitHub
- retiró la versión maliciosa y aisló el dispositivo afectado;
- rotó secretos críticos durante la noche, empezando por las credenciales de mayor impacto;
- dijo no tener pruebas de impacto en datos de clientes, repositorios de clientes ni sistemas de producción;
- prometió un informe completo al terminar la investigación.
Una campaña mucho mayor
GitHub fue la víctima más conocida de una ola más amplia. Según Tenable, la campaña Mini Shai-Hulud comprometió más de 170 paquetes en npm y PyPI, con más de 518 millones de descargas semanales. OX Security contó al menos 400 repositorios en GitHub creados para guardar credenciales robadas. TeamPCP llevaba meses atacando el ecosistema open source, y Google también lo cita (como UNC6780) entre los grupos que apuntan a entornos de IA y desarrollo.
Nota: algunas fuentes fechan la intrusión en junio de 2026. La fecha correcta, según GitHub y la prensa especializada, es del 19 al 21 de mayo de 2026.
Lecciones para cualquier empresa
- Las extensiones del IDE son software con acceso total: mantén una lista de permitidas y bloquea el resto.
- La actualización automática no siempre es segura: bastaron 18 minutos. Considera retrasar unos días las actualizaciones de extensiones y paquetes.
- Protege las cuentas de los mantenedores con llaves de seguridad y tokens de corta duración.
- Separa los equipos de desarrollo de los secretos de producción.
- Ten un plan para rotar secretos rápido, como hizo GitHub.
Fuentes
- Help Net Security (20/05/2026): https://www.helpnetsecurity.com/2026/05/20/github-breached-teampcp/
- BleepingComputer: https://www.bleepingcomputer.com/news/security/github-investigates-internal-repositories-breach-claimed-by-teampcp/
- Dark Reading: https://www.darkreading.com/application-security/github-confirms-breach-4k-internal-repos-stolen
- Tenable, FAQ Mini Shai-Hulud: https://www.tenable.com/blog/mini-shai-hulud-frequently-asked-questions
¿Quieres revisar la seguridad de tu cadena de desarrollo, de extensiones a paquetes? KGA IT ofrece una consulta gratuita: kga-it.com.