Cómo una extensión maliciosa de VS Code permitió acceder a 3.800 repositorios internos de GitHub

En mayo de 2026, GitHub confirmó un incidente de seguridad que puso de relieve una amenaza cada vez más importante para la industria del software: los ataques dirigidos a herramientas de desarrollo y a la cadena de suministro.

Según la compañía, los atacantes lograron acceder sin autorización a alrededor de 3.800 repositorios internos después de que un empleado instalara una extensión maliciosa de Visual Studio Code (VS Code). El compromiso comenzó en el dispositivo del empleado y permitió a los atacantes entrar en repositorios internos antes de que GitHub detectara y contuviera el incidente.

Los atacantes afirmaron haber robado datos internos, pero GitHub indicó que su investigación no encontró evidencia de que repositorios de clientes, organizaciones o datos externos de usuarios se vieran afectados.

Qué ocurrió en la brecha de GitHub

De acuerdo con declaraciones públicas de la empresa y reportes de seguridad, el incidente empezó cuando un empleado instaló una extensión troyanizada de VS Code desde el marketplace de extensiones. Tras la instalación, el complemento comprometió el equipo del empleado.

Desde ese punto de acceso inicial, los atacantes pudieron:

• Robar material de autenticación como credenciales o tokens de sesión activos
• Utilizar esas credenciales para acceder a sistemas internos de GitHub
• Acceder y extraer datos de aproximadamente 3.800 repositorios internos de la propia empresa

El ataque aprovechó una herramienta de desarrollo ampliamente confiable. En el ecosistema de VS Code, los desarrolladores instalan extensiones con frecuencia, y estas pueden ejecutar código localmente con acceso a archivos, tokens y al entorno de desarrollo.

Quién estaría detrás del ataque

La intrusión fue atribuida públicamente por un actor de amenazas conocido como TeamPCP, que aseguró haber obtenido código fuente interno y datos de organizaciones dentro de GitHub. Según informes de seguridad, el grupo habría ofrecido esa información a la venta en foros de ciberdelincuencia.

Aunque GitHub no confirmó oficialmente la autoría en su primera respuesta, múltiples reportes del sector han vinculado el incidente con este grupo.

TeamPCP ha ganado notoriedad durante 2026 por lanzar ataques coordinados contra el ecosistema de desarrollo de software, especialmente a través de la cadena de suministro.

Cómo la extensión maliciosa permitió el acceso

Las extensiones de VS Code pueden operar con permisos similares a los de herramientas legítimas de desarrollo. En este caso, la extensión comprometida habría dado a los atacantes control sobre el entorno del empleado.

Informes de seguridad indican que el malware probablemente realizó acciones como:

• Recolectar tokens de autenticación o credenciales
• Supervisar el entorno de desarrollo
• Exfiltrar datos sensibles de repositorios locales o sesiones activas

Con credenciales válidas o sesiones activas, los atacantes pudieron acceder a repositorios internos sin necesidad de vulnerar directamente la infraestructura de GitHub.

Este enfoque es cada vez más común: en lugar de atacar la plataforma central, los atacantes comprometen primero el entorno del desarrollador y desde ahí se mueven hacia sistemas internos.

Qué hizo GitHub tras detectar el incidente

GitHub aseguró que detectó y contuvo rápidamente el compromiso tras identificar actividad sospechosa vinculada con la extensión maliciosa.

Entre las medidas adoptadas se incluyen:

• Eliminación de la versión maliciosa de la extensión del marketplace de VS Code
• Aislamiento del dispositivo comprometido
• Rotación de credenciales sensibles
• Inicio de una investigación completa de respuesta a incidentes

La empresa también indicó que continúa monitorizando su infraestructura para detectar cualquier actividad maliciosa relacionada con el incidente.

¿Se vieron afectados los datos de clientes?

Según la investigación realizada hasta ahora, el incidente parece limitado a repositorios internos de GitHub.

La compañía afirmó que no hay evidencia de que repositorios de clientes, organizaciones o cuentas empresariales hayan sido comprometidos.

Este punto es clave: GitHub aloja código para millones de desarrolladores y empresas, pero los repositorios afectados pertenecían únicamente al entorno interno de ingeniería de la propia compañía.

La conexión con la campaña “Mini Shai‑Hulud”

Investigadores de seguridad creen que el incidente forma parte de un patrón más amplio relacionado con la campaña de ataques a la cadena de suministro conocida como “Mini Shai‑Hulud”, asociada al grupo TeamPCP.

Esta campaña ha apuntado a varios componentes del ecosistema de desarrollo, incluyendo:

• paquetes npm
• bibliotecas de PyPI
• pipelines de CI/CD
• herramientas y extensiones para desarrolladores

Los paquetes maliciosos dentro de la campaña estaban diseñados para robar secretos como credenciales de nube, tokens de CI y datos de autenticación de desarrolladores, lo que permite a los atacantes penetrar más profundamente en los flujos de desarrollo.

Algunos investigadores describen la estrategia como un ataque de cadena de suministro autopropagado, capaz de extenderse a través de dependencias de software y entornos de desarrollo confiables.

Por qué este incidente importa para todo el ecosistema

Aunque la brecha de GitHub no parece haber afectado a repositorios de clientes, el caso ilustra un cambio importante en el panorama de la ciberseguridad.

Cada vez más, los atacantes se centran en puntos de entrada como:

• estaciones de trabajo de desarrolladores
• dependencias open source
• sistemas CI/CD
• extensiones y plugins de IDE

Estos entornos suelen contener secretos de alto valor y rutas de acceso privilegiadas a sistemas de producción.

El incidente demuestra cómo una sola herramienta de desarrollo comprometida puede abrir el acceso a miles de repositorios, reforzando la idea de que la seguridad de la cadena de suministro del software se ha convertido en uno de los desafíos más críticos para los equipos de desarrollo modernos.