GitHub bị lộ 3.800 kho mã nội bộ sau khi nhân viên cài extension VS Code độc hại

Sự cố bảo mật lớn bên trong GitHub

GitHub xác nhận vào tháng 5/2026 rằng tin tặc đã đánh cắp dữ liệu từ khoảng 3.800 kho mã (repository) nội bộ sau khi xâm nhập vào máy phát triển của một nhân viên. Điểm khởi đầu của vụ tấn công là một extension Visual Studio Code (VS Code) đã bị cài mã độc, cho phép kẻ tấn công chiếm quyền truy cập vào môi trường nội bộ của GitHub.

Theo kết quả điều tra ban đầu, extension độc hại này đã giúp tin tặc truy cập và sao chép các kho mã mà GitHub sử dụng cho hoạt động phát triển nội bộ. Khi phát hiện sự cố, GitHub cho biết họ đã gỡ bỏ phiên bản extension độc hại, cô lập thiết bị bị xâm nhập và kích hoạt quy trình ứng phó sự cố bảo mật.

Dù con số 3.800 kho mã nghe có vẻ lớn, công ty nhấn mạnh rằng vụ việc chỉ liên quan đến các repository nội bộ của GitHub, không phải kho mã của khách hàng lưu trữ trên nền tảng.

Vụ tấn công diễn ra như thế nào

Điểm xâm nhập chính là một extension bị “đầu độc” dành cho Visual Studio Code — trình soạn thảo mã nguồn phổ biến trong cộng đồng lập trình.

Theo các nhà điều tra, extension này được cài trên máy của một nhân viên GitHub. Sau khi chiếm quyền kiểm soát thiết bị, kẻ tấn công có thể truy cập hệ thống nội bộ và clone hàng nghìn kho mã liên quan đến hạ tầng và quy trình phát triển của GitHub.

GitHub cho biết họ đã nhanh chóng thực hiện các bước sau:

• Phát hiện và cô lập hoạt động xâm nhập
• Gỡ bỏ extension độc hại khỏi VS Code Marketplace
• Cách ly thiết bị nhân viên bị ảnh hưởng
• Khởi động cuộc điều tra bảo mật nội bộ toàn diện

Đánh giá hiện tại của công ty cho thấy hoạt động của kẻ tấn công chỉ dẫn đến việc lấy cắp các repository nội bộ của GitHub.

GitHub nói gì về dữ liệu khách hàng

Trong các tuyên bố công khai, GitHub nhấn mạnh rằng chưa có bằng chứng cho thấy dữ liệu khách hàng hoặc repository của người dùng trên nền tảng bị ảnh hưởng.

Điều đó có nghĩa là:

• Các repository công khai và riêng tư của người dùng chưa được xác nhận bị xâm phạm
• Dữ liệu của khách hàng doanh nghiệp không được báo cáo là bị lộ
• Phạm vi ảnh hưởng hiện được xác định chỉ nằm trong hệ thống nội bộ của GitHub

Tuy vậy, công ty cho biết cuộc điều tra vẫn đang tiếp tục và họ vẫn theo dõi chặt chẽ để phát hiện các hoạt động tiếp theo có thể xảy ra.

Nhóm hacker TeamPCP đứng sau vụ việc

Một nhóm tin tặc tự gọi là TeamPCP đã nhận trách nhiệm về vụ tấn công. Nhóm này được cho là đã đăng bài trên một diễn đàn tội phạm mạng, quảng cáo quyền truy cập vào mã nguồn nội bộ và dữ liệu tổ chức của GitHub.

Một số nhà nghiên cứu an ninh mạng cho rằng TeamPCP có thể liên quan đến cụm đe doạ UNC6780, dù việc quy trách nhiệm chính thức vẫn chưa được GitHub xác nhận hoàn toàn.

Các báo cáo cho thấy dữ liệu bị đánh cắp đã được rao bán trên các chợ ngầm với giá khởi điểm hàng chục nghìn USD.

Vì sao vụ việc này đáng lo: vấn đề chuỗi cung ứng phần mềm

Ngoài thiệt hại trực tiếp, sự cố còn cho thấy một xu hướng lớn hơn trong an ninh mạng: tin tặc ngày càng nhắm vào công cụ dành cho lập trình viên và chuỗi cung ứng phần mềm, thay vì tấn công trực tiếp vào hệ thống sản xuất.

Các mục tiêu phổ biến hiện nay gồm:

• Extension của VS Code
• Thư viện trên npm hoặc PyPI
• Quy trình CI/CD
• Container image và công cụ phát triển

Lý do rất đơn giản: nếu xâm nhập được một công cụ mà nhiều lập trình viên tin tưởng sử dụng, kẻ tấn công có thể tiếp cận hàng loạt hệ thống phía sau.

Nghiên cứu trong ngành cho thấy xu hướng này đang tăng nhanh. Nhiều báo cáo ghi nhận số lượng lớn gói mã nguồn mở độc hại và các chiến dịch tấn công nhằm vào môi trường phát triển và pipeline CI/CD.

Nói cách khác, hacker đang tận dụng chính sự tin tưởng trong hệ sinh thái phần mềm để mở rộng quy mô tấn công.

Những bài học bảo mật từ sự cố GitHub

Sự cố này nhấn mạnh một số biện pháp mà các tổ chức nên áp dụng khi sử dụng công cụ phát triển:

• Giới hạn hoặc cho phép theo danh sách (allow‑list) các extension
• Giám sát hoạt động đáng ngờ trên máy của lập trình viên
• Áp dụng nguyên tắc quyền truy cập tối thiểu đối với repository
• Thường xuyên xoay vòng token và thông tin xác thực
• Sử dụng công cụ quét secret và kiểm tra phụ thuộc

Máy của lập trình viên thường có quyền truy cập sâu vào kho mã, pipeline build và nhiều thông tin nhạy cảm. Vì vậy, khi một công cụ phát triển bị xâm phạm, kẻ tấn công có thể tiến sâu vào hạ tầng công ty hơn nhiều so với các phương thức tấn công truyền thống.

Bức tranh lớn hơn

Vụ việc tại GitHub là lời nhắc rằng bảo mật phần mềm hiện đại không chỉ là bảo vệ máy chủ — mà còn là bảo vệ toàn bộ hệ sinh thái công cụ mà lập trình viên sử dụng mỗi ngày.

Khi các cuộc tấn công chuỗi cung ứng và extension độc hại ngày càng phổ biến, ngay cả những thành phần quen thuộc trong quy trình phát triển cũng có thể trở thành cửa ngõ cho các cuộc xâm nhập quy mô lớn.

GitHub cho biết dữ liệu khách hàng chưa bị ảnh hưởng, nhưng sự cố này cho thấy chỉ một extension bị cài mã độc cũng có thể mở đường vào các hệ thống nội bộ quan trọng — và vì sao bảo mật trong hệ sinh thái phát triển phần mềm đang trở thành ưu tiên hàng đầu của ngành an ninh mạng.