GitHub تقول إن قراصنة سرقوا بيانات من آلاف المستودعات الداخلية

تقول GitHub إن مهاجمين سرقوا بيانات من حوالي 3,800 مستودع داخلي بعد اختراق جهاز موظف بإضافة VS Code مسمومة، وفقًا لـ TechCrunch. وتضيف الشركة أنه لا توجد أدلة حتى الآن على تأثر معلومات العملاء المخزنة خارج تلك المستودعات الداخلية، لكن التحقيقات لا تزال جارية.

هذه الحادثة مهمة لأنها تضرب إحدى أكثر الطبقات ثقة في تطوير البرمجيات الحديثة. GitHub ليست مجرد منصة SaaS أخرى؛ فهي قريبة من source code وسير عمل المطورين وخطوط الأتمتة وضوابط الأمان عبر الصناعة. عندما يبدأ الاختراق بإضافة ضارة بدلاً من اختراق خادم تقليدي، فإنه يعزز حقيقة أصعب لفرق الهندسة: أدوات المطورين أصبحت جزءًا من سطح هجوم software supply chain.

قالت GitHub إنها اكتشفت واحتوت الاختراق على جهاز موظف، وربطت الاقتحام بإضافة مسمومة لـ Visual Studio Code، محرر الأكواد واسع الاستخدام. ولم تحدد الشركة الإضافة علنًا في الإفصاح الأولي. كما ذكرت TechCrunch أن The Record وBleepingComputer نسبا الهجوم إلى مجموعة تُدعى TeamPCP، والتي يُزعم أنها تبنت مسؤولية الاختراق وتُعرض البيانات المسروقة على منتدى جرائم إلكترونية.

النمط التقني مألوف حتى لو كان الهدف ذا شهرة غير عادية. استخدم المهاجمون بشكل متزايد حزم البرامج والمكونات الإضافية والإضافات كنقاط توزيع لأنها تقع داخل سير عمل موثوق. إذا وصل مكون ضار إلى عدد كافٍ من developers، يمكن أن ينتشر الاختراق إلى ما وراء شركة واحدة ويمتد إلى مشاريع لاحقة وبيانات اعتماد وبيئات cloud. وأشارت GitHub نفسها إلى أن الهجمات على مشاريع مفتوحة المصدر شائعة وإضافات البرمجة أصبحت وسيلة أكثر شيوعًا للوصول إلى أعداد كبيرة من الأنظمة في آن واحد.

الآثار الأكبر لا تقتصر على ما قد يكون تم أخذه من GitHub، بل تشمل ما يقوله هذا عن أولويات الأمان لمؤسسات التطوير. العديد من الفرق تقوم بالفعل بفحص التبعيات وحاويات الصور، لكن الإضافات وبيئات التطوير المحلية وأجهزة الموظفين لا تزال تُشكل بقعًا عمياء. اختراق يبدأ من طبقة المحرر يمكنه تجاوز بعض الضوابط التي تضعها الشركات حول أنظمة الإنتاج والبنية التحتية المركزية.

بالنسبة لفرق البرمجيات، الدرس العملي هو معاملة محطات عمل المطورين وإضافاتهم كأصول مجاورة للإنتاج. وهذا يعني قوائم سماح أكثر صرامة للإضافات، ومراقبة أفضل لسلوك الأجهزة الطرفية في بيئات الهندسة، ومراجعة أسرع للوصول غير المعتاد إلى المستودعات، وانضباط أكثر حول tokens وبيانات اعتماد cloud التي قد تتعرض من خلال الأدوات المحلية. قالت GitHub إن تحقيقاتها مستمرة، لذلك قد يتغير النطاق الكامل. لكن حتى من الحقائق الأولية، هذا تذكير بأن الطريق إلى الكود الحساس غالبًا ما يبدأ بالأدوات التي يثق بها developers أكثر من غيرها.