ส่วนเสริม VS Code ตัวเดียว ทำ GitHub หลุดรีโปภายในกว่า 3,800 รายการได้อย่างไร

หลังจากติดตั้ง ส่วนเสริมดังกล่าวสามารถเข้าควบคุมเครื่องของพนักงาน และกลายเป็นจุดเริ่มต้นให้ผู้โจมตีเข้าไปยังระบบภายในของบริษัท

ผู้โจมตีสามารถ:

• ขโมยข้อมูลยืนยันตัวตน เช่น credentials หรือ session tokens
• ใช้ข้อมูลเหล่านั้นเข้าสู่ระบบภายในของ GitHub
• เข้าถึงและดึงข้อมูลจากรีโปภายในของบริษัทประมาณ 3,800 รายการ

การโจมตีรูปแบบนี้อาศัยเครื่องมือที่นักพัฒนาไว้วางใจอยู่แล้ว เช่น IDE และ extension ซึ่งสามารถรันโค้ดบนเครื่องนักพัฒนาได้โดยตรง ทำให้เข้าถึงไฟล์ โทเคน และสภาพแวดล้อมการพัฒนาได้อย่างกว้างขวาง

ใครอยู่เบื้องหลังการโจมตี

การโจมตีครั้งนี้ถูกอ้างความรับผิดชอบโดยกลุ่มแฮ็กเกอร์ที่ใช้ชื่อว่า TeamPCP ซึ่งรายงานหลายแห่งระบุว่ากลุ่มนี้นำข้อมูลซอร์สโค้ดและข้อมูลองค์กรภายในของ GitHub ไปประกาศขายบนฟอรัมอาชญากรรมไซเบอร์

แม้ GitHub จะยังไม่ได้ยืนยันอย่างเป็นทางการว่า TeamPCP เป็นผู้โจมตี แต่รายงานด้านความปลอดภัยจำนวนมากเชื่อมโยงกิจกรรมนี้กับกลุ่มดังกล่าว

ในปี 2026 ทีมนี้ได้รับความสนใจจากผู้เชี่ยวชาญด้านความปลอดภัย เนื่องจากมีบทบาทใน การโจมตีซัพพลายเชนซอฟต์แวร์หลายครั้งต่อระบบนิเวศของนักพัฒนา

ส่วนเสริม VS Code ที่เป็นอันตรายทำงานอย่างไร

ส่วนเสริมของ VS Code สามารถทำงานด้วยสิทธิ์คล้ายกับเครื่องมือพัฒนาทั่วไป ดังนั้นหาก extension ถูกฝังมัลแวร์ ก็สามารถเข้าถึงข้อมูลสำคัญบนเครื่องนักพัฒนาได้

รายงานด้านความปลอดภัยระบุว่ามัลแวร์ในส่วนเสริมอาจทำงาน เช่น

• ดึงข้อมูลโทเคนหรือข้อมูลล็อกอิน
• เฝ้าดูสภาพแวดล้อมการพัฒนา
• ส่งข้อมูลจากรีโปหรือเซสชันออกไปยังผู้โจมตี

เมื่อผู้โจมตีได้ credentials หรือ session ที่ยังใช้งานอยู่ ก็สามารถเข้าสู่รีโปภายในของ GitHub ได้โดยไม่จำเป็นต้องโจมตีโครงสร้างพื้นฐานของ GitHub โดยตรง

วิธีนี้กำลังกลายเป็นเทคนิคที่พบมากขึ้นใน การโจมตีซัพพลายเชน: แทนที่จะเจาะแพลตฟอร์มโดยตรง ผู้โจมตีจะเจาะเครื่องมือของนักพัฒนา แล้วใช้สิทธิ์ที่ได้เพื่อเข้าระบบภายใน

GitHub รับมือกับเหตุการณ์อย่างไร

GitHub ระบุว่าบริษัท ตรวจพบและควบคุมเหตุการณ์ได้อย่างรวดเร็ว หลังพบกิจกรรมที่ผิดปกติจากส่วนเสริมที่ถูกฝังมัลแวร์

มาตรการตอบสนองที่ดำเนินการทันที ได้แก่

• ลบเวอร์ชันของ extension ที่เป็นอันตรายออกจาก VS Code Marketplace
• แยกเครื่องพนักงานที่ติดมัลแวร์ออกจากระบบ
• หมุนและรีเซ็ต credentials ที่สำคัญ
• เริ่มกระบวนการตรวจสอบเหตุการณ์ด้านความปลอดภัยอย่างเต็มรูปแบบ

บริษัทระบุด้วยว่ายังคงติดตามโครงสร้างพื้นฐานของตนอย่างใกล้ชิดเพื่อดูว่ามีกิจกรรมที่เกี่ยวข้องกับการโจมตีเพิ่มเติมหรือไม่

ข้อมูลลูกค้าได้รับผลกระทบหรือไม่

จากการตรวจสอบของ GitHub จนถึงตอนนี้ เหตุการณ์ดูเหมือนจะจำกัดอยู่เฉพาะ รีโปซิทอรีภายในของบริษัทเท่านั้น

GitHub ระบุว่า ยังไม่พบหลักฐานว่าข้อมูลลูกค้า รีโปของผู้ใช้ หรือบัญชีองค์กรได้รับผลกระทบ จากเหตุการณ์ครั้งนี้

จุดนี้มีความสำคัญ เพราะ GitHub เป็นแพลตฟอร์มโฮสต์โค้ดสำหรับนักพัฒนาหลายล้านคนทั่วโลก แต่รีโปที่ได้รับผลกระทบเป็นเพียงโค้ดภายในของ GitHub เอง

ความเชื่อมโยงกับแคมเปญ “Mini Shai‑Hulud”

นักวิจัยด้านความปลอดภัยเชื่อว่าเหตุการณ์นี้สอดคล้องกับรูปแบบการโจมตีของ แคมเปญซัพพลายเชนชื่อ “Mini Shai‑Hulud” ซึ่งเกี่ยวข้องกับกลุ่ม TeamPCP

แคมเปญนี้มุ่งโจมตีส่วนต่าง ๆ ของระบบนิเวศนักพัฒนา เช่น

• แพ็กเกจ npm
• ไลบรารีบน PyPI
• ระบบ CI/CD
• เครื่องมือพัฒนาและ extension ต่าง ๆ

มัลแวร์ที่ฝังในแพ็กเกจเหล่านี้ถูกออกแบบมาเพื่อ ขโมย secrets สำคัญ เช่น cloud credentials, CI tokens และข้อมูลยืนยันตัวตนของนักพัฒนา เพื่อให้ผู้โจมตีสามารถเคลื่อนตัวลึกเข้าไปใน pipeline การพัฒนาซอฟต์แวร์ได้

นักวิจัยบางรายอธิบายว่ากลยุทธ์นี้เป็น การโจมตีซัพพลายเชนแบบแพร่กระจายตัวเอง (self‑propagating) ที่ใช้ความไว้วางใจใน dependencies และเครื่องมือพัฒนาเป็นช่องทาง

ทำไมเหตุการณ์นี้จึงสำคัญ

แม้เหตุการณ์ของ GitHub จะไม่พบผลกระทบต่อข้อมูลลูกค้า แต่กรณีนี้สะท้อนการเปลี่ยนแปลงสำคัญของภัยคุกคามไซเบอร์

ปัจจุบันผู้โจมตีมักเล็งเป้าไปที่:

• เครื่องคอมพิวเตอร์ของนักพัฒนา
• dependencies แบบโอเพนซอร์ส
• ระบบ CI/CD
• IDE extensions และปลั๊กอิน

สภาพแวดล้อมเหล่านี้มักเก็บ secrets สำคัญและสิทธิ์เข้าถึงระบบ production อยู่จำนวนมาก

เหตุการณ์ครั้งนี้จึงเป็นตัวอย่างชัดเจนว่า เครื่องมือพัฒนาเพียงตัวเดียวที่ถูกฝังมัลแวร์ อาจนำไปสู่การเข้าถึงรีโปหลายพันรายการได้ และทำให้ความปลอดภัยของซัพพลายเชนซอฟต์แวร์กลายเป็นหนึ่งในความท้าทายใหญ่ที่สุดของทีมพัฒนาในปัจจุบัน