Violazioni · 51 giorni fa
CrowdSec ha confermato al terzo giorno dell’incidente che il furto non è nato dal proprio GitHub, ma da un token OAuth rimasto valido sull’account di un ex dipendente. Con quel token, legato al worm Shai-Hulud e al filone TanStack npm, sono stati copiati in pochi minuti circa 170 repository privati.
Il punto non è il volume del leak. È che GitHub ha trattato l’accesso come legittimo perché la chiave era ancora attiva. In questo schema, il worm serve solo a rubare una credenziale persistente; da lì in poi il download della base di codice avviene senza toccare l’infrastruttura della vittima.
Per chi gestisce organizzazioni GitHub, il rischio resta nei token lunghi e nei grant lasciati dietro l’uscita del personale. CrowdSec ha ruotato i token, ma l’episodio mostra che l’offboarding e la vita utile delle credenziali terze parti sono parte della superficie d’attacco.
3 fonti che coprono questa storia
Shai-Hulud Attack Nips Cyber-Firm CrowdSec's GitHub Data
Threat actors stole the contents of 170 private repositories with a stolen OAuth token of a former employee through the TanStack npm supply-chain attack.
CrowdSec Confirms Source Code Stolen in Supply Chain Attack
The cybersecurity firm believes the data breach was the result of the May 2026 TanStack supply chain attack.
CrowdSec Says TanStack npm Attack Led to Copy of 170 Private GitHub Repositories
CrowdSec says a TanStack-linked GitHub token was used to copy about 170 private repositories from a former employee’s account.
Part of the PlainSec briefing for 2026-09-23