CrowdSec, la compañía francesa especializada en seguridad abierta, ha revelado que un atacante consiguió copiar alrededor de 170 repositorios privados de GitHub pertenecientes a la organización. El acceso se produjo el 22 de mayo y fue autorizado desde la cuenta de un empleado que acababa de marcharse, cuyo permiso seguía activo en la plataforma.

Según la propia empresa, el ordenador del trabajador fue comprometido durante el ataque de supply chain contra TanStack, un ecosistema de bibliotecas JavaScript muy utilizado. Versiones maliciosas de paquetes de npm habrían servido para robar credenciales, que luego permitieron acceder a GitHub y descargar los repositorios privados. La combinación de un endpoint infectado y una baja laboral mal gestionada convirtió una vulnerabilidad de identidad en una exfiltración a gran escala.

El incidente no significa necesariamente que los contenidos de los 170 repositorios se hayan hecho públicos. Tampoco equivale a 170 vulnerabilidades explotadas. Sin embargo, la posesión de esos códigos, configuraciones, documentación técnica y posibles secretos internos puede ser suficiente para preparar ataques más precisos contra CrowdSec, sus clientes o sus proyectos de código abierto.

TanStack es un ejemplo de cómo un fallo en la cadena de suministro puede superar las defensas tradicionales. Sus paquetes se instalan en equipos de desarrollo, pipelines de integración y procesos de build. Cuando una versión comprometida se ejecuta con permisos elevados, el atacante no necesita vulnerar cada empresa por separado: basta con infiltrarse en un entorno compartido para observar credenciales, tokens y datos de configuración.

El papel de la identidad es aquí decisivo. Una contraseña robusta o una autenticación multifactor pueden perder eficacia si el atacante ya dispone de una sesión válida, un token personal o una clave SSH. La MFA protege contra el robo directo de credenciales, pero no siempre detecta una sesión legítima capturada después de comprometer un portátil.

La lección más inmediata para las organizaciones es revisar todo el ciclo de vida del acceso. Cuando un empleado cambia de rol o abandona la compañía, deben revocarse sesiones, tokens, claves, aplicaciones OAuth, accesos SSH y permisos de repositorios. También conviene auditar los logs de GitHub y comprobar qué acciones se realizaron antes y después de la baja. En este caso, la cuenta permanecía habilitada, lo que amplió la ventana de exposición.

La contención de un ataque como este exige ir más allá de cambiar una contraseña. Si se sospecha que un entorno de desarrollo fue infectado, deben rotarse las credenciales, eliminar sesiones activas, revisar los permisos concedidos a aplicaciones de terceros y escanear los repositorios en busca de secretos. Además, los equipos de seguridad deberían investigar si los paquetes comprometidos llegaron a ejecutarse en otras máquinas o en sistemas de CI.

Las medidas preventivas también deben aplicarse a la cadena de suministro. Bloquear versiones concretas mediante lockfiles, validar procedencias, limitar permisos en los pipelines, aislar entornos de desarrollo y utilizar credenciales efímeras reduce el impacto de un paquete malicioso. La monitorización de comportamientos anómalos, como descargas masivas de repositorios o accesos desde ubicaciones inusuales, puede detectar rápidamente una exfiltración.

Para CrowdSec, el episodio tiene una dimensión especialmente sensible. La compañía ayuda a proteger infraestructuras frente a intrusiones y amenazas automatizadas, pero su propia operación muestra que ninguna organización está completamente aislada de los riesgos que analiza. Un atacante no necesita romper todos los sistemas de una empresa: con una credencial válida y una mala gestión de accesos puede obtener información de enorme valor.

El caso de CrowdSec refuerza una conclusión cada vez más clara en ciberseguridad: la seguridad de la identidad y la seguridad de la cadena de suministro deben tratarse como un mismo problema. Los repositorios privados son activos críticos, y la retirada oportuna de accesos puede ser tan importante como cualquier firewall, detector de malware o herramienta de respuesta. En un ecosistema conectado por dependencias compartidas, la menor brecha de un eslabón puede convertirse en la puerta de entrada de todos los demás.