GitHub bị hack hơn 3.800 kho mã nguồn bị đánh cắp qua plugin VS Code giả mạo

Kẻ tấn công từ đó có quyền truy cập vào token xác thực và bí mật nội bộ của GitHub, dẫn đến việc đánh cắp mã nguồn liên quan đến GitHub Actions, Copilot, CodeQL, Codespaces và Dependabot. GitHub cho biết đã phát hiện, cô lập thiết bị và xóa phiên bản độc hại của tiện ích ngay khi sự cố được xác nhận.

TeamPCP đứng sau không phải lần đầu nhắm vào công cụ lập trình

Nhóm tin tặc TeamPCP, được Google Threat Intelligence Group theo dõi dưới mã UNC6780, lên tiếng nhận trách nhiệm trên diễn đàn tội phạm mạng Breached chỉ vài giờ trước khi GitHub xác nhận. Nhóm rao bán dữ liệu với giá 50.000 USD và tuyên bố sẽ rò rỉ miễn phí nếu không tìm được người mua. Sau đó, nhóm LAPSUS$ hợp tác cùng TeamPCP nâng giá lên 95.000 USD.

Đây không phải vụ đầu tiên của TeamPCP trong năm 2026. Nhóm này đã lần lượt xâm nhập máy quét bảo mật Trivy, thư viện LiteLLM, bộ công cụ TanStack và hệ thống đám mây của Ủy ban Châu Âu, tất cả đều thông qua việc cài mã độc vào các công cụ lập trình phổ biến. Mỗi vụ xâm nhập cung cấp thông tin xác thực để leo thang sang mục tiêu tiếp theo.

Chuỗi tấn công rộng hơn trong 48 giờ

Trong khoảng thời gian xung quanh vụ GitHub, giới bảo mật ghi nhận thêm hàng loạt sự cố liên quan. Worm Mini Shai Hulud do TeamPCP phát triển đã tạo ra 639 gói npm độc hại trong vòng 48 giờ bằng cách tự động đánh cắp thông tin CI/CD rồi dùng chúng để phát tán sang các gói phần mềm phụ thuộc. Một tiện ích VS Code khác có 2,2 triệu lượt cài đặt cũng bị xâm nhập trong cùng giai đoạn. Google-owned Wiz xác nhận TeamPCP đã cài mã độc vào gói Python durabletask SDK của Microsoft trên PyPI.

Dữ liệu người dùng GitHub chưa bị ảnh hưởng

GitHub khẳng định hiện chưa có bằng chứng về tác động đến dữ liệu của khách hàng, bao gồm kho mã nguồn, tổ chức và tài khoản người dùng bên ngoài hệ thống nội bộ. Tuy nhiên công ty lưu ý điều này có thể thay đổi khi điều tra vẫn đang tiếp tục.

Vụ việc một lần nữa làm nổi bật lỗ hổng trong bảo mật chuỗi cung ứng phần mềm: khi tội phạm mạng không tấn công thẳng vào hệ thống mà thay vào đó nhắm vào thiết bị và công cụ làm việc hàng ngày của lập trình viên, ranh giới kiểm soát trở nên gần như vô hình với các nhóm bảo mật doanh nghiệp.

Kết luận

Vụ tấn công GitHub nhắc lại một thực tế mà các chuyên gia bảo mật vẫn thường nhấn mạnh: phần mềm lậu và phần mềm không rõ nguồn gốc là một trong những con đường ngắn nhất để mã độc xâm nhập vào thiết bị cá nhân và hệ thống doanh nghiệp. Sử dụng hệ điều hành và phần mềm bản quyền chính hãng không chỉ đảm bảo cập nhật bảo mật đầy đủ mà còn loại bỏ nguy cơ cài nhầm phiên bản đã bị can thiệp, đúng như điểm khởi đầu của vụ GitHub. Phúc Anh cung cấp các dòng laptop và PC đi kèm Windows bản quyền chính hãng, cùng các gói phần mềm bản quyền cho doanh nghiệp và khách hàng cá nhân, liên hệ ngay để bảo mật thông tin khỏi tin tặc trong thời đại số.

>>> Xem thêm:

• Cách kiểm tra phần mềm lậu và trang bị bản quyền windows chuẩn pháp lý 2026
• Windows bản quyền trong doanh nghiệp: Những điều cần biết để tránh vi phạm bản quyền phần mềm