GitHub内部リポジトリ流出騒動をわかりやすく解説：犯人は“毒入り”VS Code拡張？

• GitHubは、悪意あるVisual Studio Code拡張機能による侵入を受けたと公式に認めた
• 被害は約3,800の内部GitHubリポジトリに及んだ
• GitHubは重要なsecretやcredential（認証情報）をローテーションしたと説明している
• 犯行を主張するハッカー集団TeamPCPは、ソースコードを盗んだうえで5万ドルで売ろうとしたとされる
• 企業側の“開発ツール”を悪用する手口で、サプライチェーン攻撃の怖さが改めて目立った

そもそも何が起きたのか

Tom's Hardwareによると、GitHubの内部リポジトリが、悪意あるVisual Studio Code拡張機能をきっかけに侵害されたことが、GitHub自身のX投稿で明らかになりました。

GitHubは、すでにこの問題を検知・封じ込めしたとし、以下の対応を取ったとしています。

• 悪意ある拡張機能のバージョンをVS Code Marketplaceから削除
• 侵害された端末を隔離
• インシデント対応を開始
• 重要なsecretやcredentialsをローテーション

「3,800件の内部リポジトリ」

おそらく氷山の一角です。
特に怖いのは、ソースコードそのものよりも、そこから派生して見つかる□□□□です。
以下の原作記事をご覧ください。