GitHub 遭入侵：惡意 VS Code 擴充套件成破口，約 3,800 個內部儲存庫被竊

GitHub 證實發生內部儲存庫外洩事件

2026 年 5 月，GitHub 證實其內部系統發生資安事件：攻擊者從約 3,800 個 GitHub 內部程式碼儲存庫（repositories） 中竊取資料。事件起因是一名員工的開發電腦遭入侵，而入侵入口是一個 被植入惡意程式的 Visual Studio Code（VS Code）擴充套件。

調查顯示，該惡意擴充套件讓攻擊者取得進入 GitHub 內部環境的立足點，並能存取與複製公司用於自身基礎設施與開發流程的內部儲存庫。GitHub 表示在發現異常後，已 移除惡意擴充套件版本、隔離受影響裝置並啟動事件應變調查。

雖然涉及的儲存庫數量龐大，但公司強調，此次事件影響的是 GitHub 自身的內部程式碼庫，而非平台上託管的客戶儲存庫。

入侵是如何發生的

攻擊的關鍵在於一個「被污染」的 VS Code 擴充套件。VS Code 是全球最常用的程式碼編輯器之一，擁有大量第三方擴充套件。

調查人員指出，當該擴充套件被安裝在 GitHub 員工的開發電腦後，攻擊者便能取得該裝置控制權，進一步存取公司內部系統。之後，攻擊者據稱 複製並外傳了數千個 GitHub 內部儲存庫。

GitHub 表示其安全團隊已採取多項措施：

• 偵測並遏止入侵活動
• 從 VS Code Marketplace 移除惡意擴充套件
• 隔離受感染的員工裝置
• 啟動完整的內部資安調查

目前公司的評估是，此次事件 僅涉及 GitHub 內部儲存庫資料外洩。

GitHub 對客戶資料的說法

GitHub 在公開聲明中強調，目前沒有證據顯示客戶儲存庫或使用者資料受到影響。

這代表：

• 平台上的公開與私人儲存庫沒有被證實遭入侵
• 企業客戶資料沒有被報告外洩
• 已知影響主要限於 GitHub 自身的內部程式碼

不過 GitHub 也表示調查仍在進行中，並持續監控是否出現後續攻擊活動。

駭客組織 TeamPCP 的角色

一個自稱 TeamPCP 的威脅組織公開宣稱對這次入侵負責。該組織據稱在一個網路犯罪論壇上貼文，宣稱掌握 GitHub 的原始碼與內部組織資料。

部分資安研究人員將 TeamPCP 與一個被追蹤為 UNC6780 的威脅集群關聯起來，但相關歸因仍未完全確認。

報導指出，攻擊者試圖在地下市場以 數萬美元 的價格出售這些竊取的資料。

為何這起事件格外值得警惕

這起事件不只是單一公司遭入侵，它也反映了一個更大的資安趨勢：攻擊者越來越傾向攻擊軟體供應鏈與開發者工具。

現代軟體開發依賴大量工具與開源元件，例如：

• VS Code 擴充套件
• npm 或 PyPI 套件
• CI/CD 自動化流程
• 容器映像與開發工具

只要攻擊者成功入侵其中一個「被信任的工具」，就可能連帶影響大量開發環境與企業系統。

研究顯示，這類攻擊正快速增加。例如安全報告指出，開源生態系中已出現 大量惡意套件與持續性的供應鏈攻擊活動。

換句話說，攻擊者現在更常利用開發者對工具與套件的信任作為突破口。

從 GitHub 事件得到的安全教訓

這起事件再次提醒企業：開發者環境本身就是高度敏感的資安區域。常見的防護措施包括：

• 對 IDE 或市集擴充套件建立 allow‑list（允許清單）
• 監控開發者電腦的異常行為
• 對儲存庫採取最小權限存取
• 定期輪換 API token 與憑證
• 部署自動化的秘密掃描與依賴安全工具

開發者裝置通常擁有程式碼庫、建置流程與機密憑證的高權限存取。一旦開發工具遭入侵，攻擊者可能比傳統入侵更容易深入企業核心基礎設施。

更大的資安意義

GitHub 事件再次提醒業界：現代軟體安全不僅是保護伺服器，也必須保護開發者每天使用的工具與生態系。

隨著攻擊者把焦點轉向惡意擴充套件與供應鏈漏洞，即使是看似可信的開發工具，也可能成為大型科技平台的入侵入口。