3.800 Repository Internal GitHub Dicuri Akibat Ekstensi VS Code Berbahaya

• Menghapus versi ekstensi berbahaya dari marketplace VS Code
• Mengisolasi perangkat karyawan yang terinfeksi
• Memulai investigasi respons insiden secara menyeluruh

Perusahaan menekankan bahwa repository yang terkena dampak adalah repository internal GitHub, bukan repository milik pengguna yang di‑hosting di platform tersebut.

Bagaimana Serangan Ini Terjadi

Serangan bermula dari sebuah ekstensi VS Code yang telah “dipisoning” atau ditrojanisasi. VS Code sendiri adalah editor kode populer yang digunakan jutaan developer di seluruh dunia.

Ekstensi tersebut diinstal pada perangkat seorang karyawan GitHub. Setelah aktif, malware di dalam ekstensi memberikan akses bagi penyerang ke sistem internal perusahaan. Dari titik tersebut, penyerang dilaporkan berhasil mengkloning ribuan repository internal GitHub yang terkait dengan proses pengembangan dan infrastruktur perusahaan.

GitHub mengatakan mereka segera mendeteksi dan menahan insiden tersebut dengan beberapa langkah cepat, termasuk menonaktifkan ekstensi berbahaya dan mengamankan perangkat yang terdampak.

Penilaian awal perusahaan menyatakan bahwa aktivitas penyerang hanya melibatkan eksfiltrasi repository internal GitHub.

Apakah Data Pengguna GitHub Ikut Bocor?

Salah satu kekhawatiran utama setelah kabar ini muncul adalah kemungkinan bocornya repository pelanggan.

Namun GitHub menyatakan bahwa hingga saat ini tidak ada bukti bahwa data pelanggan atau repository pengguna terdampak.

Artinya:

• Repository publik dan privat milik pengguna tidak terkonfirmasi bocor
• Data pelanggan enterprise tidak dilaporkan terekspos
• Dampak yang diketahui sejauh ini terbatas pada kode internal GitHub

Meski begitu, perusahaan menyebutkan investigasi masih berlangsung dan mereka terus memantau sistem untuk aktivitas lanjutan yang mencurigakan.

Kelompok Peretas TeamPCP Mengaku Bertanggung Jawab

Sebuah kelompok peretas yang menamakan diri TeamPCP mengklaim sebagai pelaku di balik insiden ini.

Kelompok tersebut dilaporkan memposting di forum kejahatan siber bahwa mereka memiliki akses ke kode sumber dan data organisasi internal GitHub.

Beberapa peneliti keamanan siber juga mengaitkan kelompok ini dengan cluster ancaman bernama UNC6780, meskipun atribusi tersebut masih bersifat sementara dan belum sepenuhnya dikonfirmasi oleh GitHub.

Laporan lain menyebutkan data hasil curian tersebut ditawarkan untuk dijual di pasar bawah tanah dengan harga puluhan ribu dolar.

Mengapa Serangan Ini Penting: Risiko Supply‑Chain Perangkat Lunak

Di luar dampak langsungnya, insiden ini menunjukkan tren yang semakin jelas di dunia keamanan siber: penyerang kini menargetkan ekosistem alat pengembang dan supply chain perangkat lunak.

Alih‑alih menyerang server produksi secara langsung, pelaku sering menyasar komponen yang dipercaya oleh developer, seperti:

• ekstensi VS Code
• paket npm atau PyPI
• pipeline CI/CD
• image container dan alat developer lainnya

Jika satu alat populer berhasil disusupi, penyerang berpotensi mendapatkan akses ke banyak sistem sekaligus.

Riset industri menunjukkan tren ini terus meningkat. Analisis keamanan menemukan ratusan ribu paket open‑source berbahaya yang menargetkan ekosistem pengembangan perangkat lunak dan pipeline build modern.

Pelajaran Keamanan dari Insiden GitHub

Insiden ini mempertegas pentingnya pengamanan pada lingkungan developer, yang sering memiliki akses luas ke kode, pipeline build, dan kredensial sensitif.

Beberapa praktik keamanan yang disarankan antara lain:

• Membatasi atau membuat allowlist untuk ekstensi marketplace
• Memantau aktivitas mencurigakan pada perangkat developer
• Menerapkan prinsip least privilege untuk akses repository
• Melakukan rotasi token dan kredensial secara rutin
• Menggunakan alat pemindaian secret dan keamanan dependensi

Karena perangkat developer sering menjadi titik akses ke berbagai sistem internal, kompromi pada satu alat atau ekstensi dapat membuka jalan jauh lebih dalam ke infrastruktur perusahaan.

Gambaran Besar

Peretasan GitHub ini menjadi pengingat bahwa keamanan perangkat lunak modern tidak hanya bergantung pada server dan aplikasi, tetapi juga pada alat yang digunakan developer setiap hari.

Ketika ekstensi, paket open‑source, atau pipeline pengembangan berhasil disusupi, dampaknya bisa meluas dengan cepat. Insiden ini memperlihatkan bagaimana satu ekstensi yang tampak biasa saja dapat menjadi pintu masuk untuk mengakses ribuan repository internal di perusahaan teknologi besar.

Meski GitHub menyatakan tidak ada bukti kebocoran data pelanggan sejauh ini, kasus ini memperjelas bahwa keamanan ekosistem developer kini menjadi salah satu prioritas utama dalam dunia keamanan siber.