Piratage de GitHub : 3 800 dépôts internes exfiltrés via une extension VS Code malveillante

Un incident de sécurité majeur chez GitHub

En mai 2026, GitHub a confirmé qu’un attaquant avait réussi à exfiltrer des données provenant d’environ 3 800 dépôts internes après la compromission de l’ordinateur d’un employé. L’accès initial a été obtenu grâce à une extension Visual Studio Code (VS Code) trojanisée, installée sur le poste du développeur.

Selon l’enquête interne, cette extension malveillante a permis à l’attaquant d’accéder aux systèmes internes de GitHub et de cloner des dépôts appartenant à l’entreprise elle‑même. Dès la détection de l’incident, GitHub a indiqué avoir supprimé la version malveillante de l’extension, isolé la machine compromise et déclenché une enquête de réponse à incident.

Même si le nombre de dépôts concernés est élevé, GitHub précise que les dépôts internes de l’entreprise ont été touchés — pas ceux des utilisateurs ou des clients hébergés sur la plateforme.

Comment l’attaque s’est produite

Le point d’entrée de l’attaque était une extension VS Code « empoisonnée ». Visual Studio Code est l’un des éditeurs de code les plus utilisés par les développeurs dans le monde.

D’après les investigations, l’extension a été installée sur l’ordinateur d’un employé de GitHub. Une fois exécutée, elle a permis aux attaquants de compromettre la machine et d’accéder à l’environnement interne de développement.

Depuis ce point d’accès, les attaquants auraient cloné des milliers de dépôts internes liés à l’infrastructure et aux outils de développement de GitHub.

GitHub indique avoir immédiatement :

• détecté et contenu l’incident
• retiré l’extension malveillante du marketplace VS Code
• isolé l’ordinateur compromis
• lancé une enquête complète de sécurité

L’évaluation actuelle de l’entreprise est que l’exfiltration concerne uniquement des dépôts internes de GitHub.

Ce que GitHub dit sur les données des utilisateurs

Dans ses communications publiques, GitHub affirme qu’il n’existe aucune preuve indiquant que les données des clients ont été compromises.

Concrètement :

• les dépôts publics et privés des utilisateurs n’ont pas été confirmés comme touchés
• aucune exposition de données d’entreprises clientes n’a été signalée
• l’impact identifié concerne uniquement le code interne de GitHub

L’entreprise précise toutefois que l’enquête reste en cours et que ses équipes surveillent toute activité suspecte ultérieure.

Le groupe de pirates TeamPCP

Un acteur malveillant se présentant sous le nom TeamPCP a revendiqué l’attaque. Le groupe aurait publié un message sur un forum cybercriminel proposant à la vente l’accès au code interne et aux données organisationnelles de GitHub.

Certains chercheurs en cybersécurité associent ce groupe au cluster de menaces UNC6780, identifié par des équipes de renseignement sur les menaces, même si cette attribution reste à confirmer officiellement.

Selon plusieurs rapports, les attaquants auraient tenté de vendre les données volées pour plusieurs dizaines de milliers de dollars sur des marchés clandestins.

Une attaque typique de la chaîne d’approvisionnement logicielle

Au‑delà de l’incident lui‑même, cette affaire met en lumière une évolution majeure de la cybersécurité : les attaquants ciblent désormais les outils utilisés par les développeurs, plutôt que les serveurs de production directement.

Les environnements de développement — notamment :

• les extensions VS Code
• les registres de packages comme npm ou PyPI
• les pipelines CI/CD
• les images de conteneurs

sont devenus des cibles privilégiées. En compromettant un outil largement utilisé, un attaquant peut potentiellement accéder à de nombreux systèmes en aval.

Les analyses du secteur montrent que ce type d’attaque se multiplie. Des milliers de paquets open source malveillants ont été identifiés ces dernières années dans différents écosystèmes logiciels.

Les leçons de sécurité

L’incident rappelle que les machines des développeurs disposent souvent d’un accès privilégié aux dépôts, aux pipelines de build et à des secrets techniques.

Quelques pratiques recommandées pour réduire les risques :

• limiter ou autoriser explicitement les extensions installables
• surveiller l’activité des postes de développement
• appliquer le principe du moindre privilège aux accès aux dépôts
• renouveler régulièrement les jetons et identifiants
• utiliser des outils automatiques de détection de secrets et de dépendances vulnérables

Un signal pour toute l’industrie

Le piratage de GitHub montre qu’une simple extension compromise peut devenir un point d’entrée vers des infrastructures technologiques majeures.

Même si GitHub affirme que les données des clients ne semblent pas affectées, l’incident souligne un enjeu crucial : sécuriser l’écosystème des développeurs — outils, extensions et dépendances — est devenu un élément central de la cybersécurité moderne.