GitHub onderzoekt datalek na aanval via supply chain

GitHub bevestigt een beveiligingsincident waarbij aanvallers toegang kregen tot interne repositories van het platform. Volgens berichten op sociale media wist de hackersgroep TeamPCP via een kwaadaardige Visual Studio Code extensie een apparaat van een medewerker te compromitteren. Vanuit daar kregen de aanvallers toegang tot interne systemen en zouden duizenden privé repositories zijn buitgemaakt.

De hackers claimen ongeveer 4.000 repositories met broncode en interne organisatiedata te hebben verzameld. De dataset staat inmiddels te koop op een hackersforum met een vraagprijs van $50.000. Als niemand betaalt, dreigen de aanvallers alle data gratis openbaar te maken.

Aanval begon via besmette VS Code extensie

Volgens de informatie van Satoshi Club lag de oorzaak niet bij een direct lek in GitHub zelf, maar bij een supply chain aanval via de Visual Studio Code Marketplace. Een besmette extensie werd geïnstalleerd op een laptop van een GitHub medewerker, waarna de aanvallers zich verder door interne systemen konden bewegen.

GitHub meldt dat de kwaadaardige extensieversie inmiddels verwijderd is. Daarnaast is het getroffen apparaat geïsoleerd en zijn kritieke toegangsgegevens vervangen. Het incident response team van het bedrijf onderzoekt de situatie verder.

Vooralsnog zegt GitHub geen aanwijzingen te hebben dat klantrepositories, enterprise omgevingen of externe organisaties getroffen zijn. De aanval lijkt zich voorlopig te beperken tot interne infrastructuur van het platform.

🚨 BREAKING: GitHub has confirmed a breach of its internal repositories. The attacker compromised an employee device through a poisoned Visual Studio Code extension. From that single endpoint, they pivoted into internal GitHub repos, dumped secrets, and walked out with what they…

— Satoshi Club (@esatoshiclub) · May 20, 2026

Meerdere beveiligingsincidenten in korte tijd

De aanval op GitHub komt in een week waarin meerdere beveiligingsproblemen rondom het ontwikkelplatform naar buiten komen. Twee populaire GitHub Actions workflows werden recent gecompromitteerd via manipulatie van tags, waardoor aanvallers CI/CD credentials konden stelen.

Daarnaast patchte GitHub onlangs een kritieke kwetsbaarheid met de naam CVE 2026 3854. Onderzoekers ontdekten dat kwaadwillenden via één enkele git push remote code execution konden activeren.

Volgens security experts laten de incidenten zien dat moderne ontwikkelplatformen zelf vaak goed beveiligd zijn, maar dat externe tools en afhankelijkheden steeds vaker het doelwit vormen. Vooral extensies, CI workflows en supply chain componenten worden gezien als kwetsbare schakels.

Beveiliging van ontwikkelomgevingen krijgt meer aandacht

De recente gebeurtenissen zorgen ervoor dat veel ontwikkelaars hun beveiligingsmaatregelen opnieuw bekijken. Experts adviseren om geïnstalleerde VS Code extensies direct te controleren en GitHub Actions vast te zetten op specifieke commit hashes in plaats van tags.

Daarnaast raden beveiligingsspecialisten aan om tokens, deploy keys en andere geheime toegangssleutels te vervangen wanneer deze mogelijk in aanraking zijn gekomen met besmette omgevingen.

Nu softwareontwikkeling steeds afhankelijker wordt van externe tools en open source componenten, groeit ook de aandacht voor supply chain aanvallen binnen de techsector.