La evaluación actual de GitHub indica que la brecha se limitó únicamente a los repositorios internos de GitHub.

Fundamentalmente, la compañía afirmó que no ha encontrado evidencia de impacto en la infraestructura orientada al cliente, incluyendo empresas clientes, organizaciones o repositorios personales alojados en la plataforma.

Sin embargo, GitHub reconoció que algunos repositorios internos contienen información derivada de clientes, como extractos de interacciones de tickets de soporte, lo que plantea la posibilidad de una exposición secundaria limitada.

La empresa se ha comprometido a notificar directamente a los clientes afectados a través de los canales establecidos de respuesta a incidentes y divulgación si se confirma cualquier impacto en los datos del cliente.

En un rápido esfuerzo de contención, el equipo de seguridad de GitHub comenzó a rotar secretos críticos ya el lunes y continuó hasta el martes, priorizando las credenciales con el mayor radio de impacto potencial. La empresa continúa realizando lo siguiente:

• Analizar los registros en busca de signos de movimiento lateral o actividad posterior
• Validar que todos los secretos rotados hayan sido completamente invalidados
• Monitorear la infraestructura de la plataforma para detectar cualquier mecanismo de persistencia o intentos de acceso secundarios

El ataque resalta el creciente peligro de los ataques a la cadena de suministro de extensiones de VS Code. La extensión Nx Console, ampliamente utilizada en los flujos de trabajo de desarrollo de Angular y monorepos, fue subvertida a nivel de distribución, lo que significa que los desarrolladores con la versión comprometida instalada quedaron expuestos sin saberlo.

GitHub afirmó que publicará un informe exhaustivo posterior al incidente una vez que concluya la investigación. La transparencia de la empresa en torno a la brecha, incluyendo el reconocimiento direccional de las afirmaciones del atacante sobre el recuento de repositorios, refleja una postura de divulgación moderada pero proactiva.

Se aconseja a las organizaciones que confíen en GitHub para sus flujos de trabajo de desarrollo interno que auditen las extensiones de VS Code instaladas, revisen las políticas de actualización de extensiones y monitoreen cualquier actividad inusual de acceso a la API o a los repositorios mientras continúa la investigación.