CrowdSec Kehilangan 170 Repositori Privat dalam Sembilan Menit akibat Celah Offboarding

Pada 22 Mei 2026, antara pukul 05:52:29 dan 06:01:33 UTC, seseorang yang bekerja dari alamat IP di Toronto, Kanada, menggunakan akun GitHub seorang pengembang yang baru saja meninggalkan CrowdSec untuk menyalin sekitar 170 repositori privat perusahaan keamanan Prancis tersebut. CrowdSec menerbitkan linimasa itu dalam laporan insidennya sendiri pada 18 September 2026 — tanggal yang diberikan arsip insiden AI untuk catatan ini — setelah arsip kode sumbernya muncul di pasar kejahatan siber pwnforum pada 16 September. Akun itu masih berfungsi karena perusahaan sengaja membiarkan akses GitHub pengembang tersebut terbuka agar mereka dapat menyelesaikan sejumlah pekerjaan. Laptop di baliknya telah terinfeksi sebelas hari sebelumnya oleh worm pencuri kredensial Mini Shai-Hulud yang didorong TeamPCP melalui paket npm TanStack. Catatan ini diambil dari rekaman yang diajukan pada 18 September 2026, dan kumpulan insiden terdokumentasi lengkap — setiap entri membawa tingkat keparahan, nilai keyakinan, penanda sengketa, dan sumbernya sendiri — terdapat di the Orca AI Incident Archive, tempat catatan ini dapat dibaca bersama kasus rantai pasok lain dari tahun yang sama.

Pencurian tersebut tidak hanya terbatas pada kode. Laporan CrowdSec juga mengungkap alamat email 83 pengguna, yang diambil dari daftar pemantauan ilmu data internal dan sebagian besar merupakan akun Gmail, ditambah nama depan dan belakang, alamat email, serta konteks investasi dari 51 calon investor dari tahun 2020. Dibandingkan dengan sekitar 150.000 pengguna, 83 alamat adalah sebagian kecil; tetapi bukan berarti nol. Direktur utama Philippe Humeau menyampaikan permintaan maaf pribadinya khusus kepada para investor: "Bocornya nama dan alamat email Anda adalah masalah yang akan kami bicarakan langsung dengan Anda dan otoritas yang berwenang, dan untuk ini saya secara pribadi meminta maaf."

Apa yang sebenarnya terjadi dalam sembilan menit itu

Catatan Git yang dikembalikan GitHub kepada CrowdSec dimulai pada 05.52.32.138 UTC dengan sebuah fetch terhadap salah satu repositori perusahaan, dan aktivitasnya berhenti pada 06.01.33. Angka sekitar 170 repositori privat dalam arsip tersebut berasal dari data Git itu. Dalam tulisannya, Humeau menggambarkan eksposur itu sebagai "terbatas pada kode sumber CrowdSecurity, termasuk 130+ repositori publik dan banyak repositori privat." DevOps.com, yang melaporkan insiden itu pada 24 September, menyebut jumlah gabungan publik dan privat sekitar 300 repositori — angka yang lebih besar daripada angka repositori privat CrowdSec sendiri, dan angka yang tidak dinyatakan dalam laporan perusahaan.

Isinya adalah perabot biasa bagi perusahaan SaaS yang bergerak cepat: kode sumber konsol web, skrip deployment dan otomasi, serta skrip dan model data science di balik analitiknya. Item paling sensitif yang disebut CrowdSec adalah "algoritme konsensus" yang menentukan alamat IP mana yang masuk ke daftar blokirnya. Arsitektur algoritme itu sudah publik, tetapi ambang keberagaman dan deteksinya belum, dan ambang tersebut kini diketahui. Humeau berargumen bahwa ambang itu adalah target yang terus bergerak dan bahwa mengarahkan konsensus tetap akan memerlukan armada server yang besar dan mahal; perusahaan mengatakan pihaknya dapat menyesuaikan ambang tersebut dan sedang mengawasi adanya ketidaksesuaian.

Kredensial adalah bagian yang bisa saja jauh lebih buruk. "Kami hampir sepenuhnya bersih," tulis Humeau. Satu-satunya rahasia yang dapat digunakan dalam dump adalah token AWS Simple Notification Service, yang cakupannya hanya untuk menerbitkan pada satu topik. Seseorang mengujinya pada 17 Agustus 2026 dari IP 23.234.84.102, memanggil GetCallerIdentity dan ListTopics terhadap topik dev dan env, dan tidak berhasil lebih jauh. Sebagian besar token dan rahasia lain dalam kode telah dicabut atau dirotasi sebelum kebocoran. CrowdSec mengatakan infrastruktur dan basis datanya tidak diakses dan tidak ada kode yang diubah dalam proyek sumber terbuka, sumber privatnya, atau pipeline build-nya.

Mengapa akun itu masih berfungsi

Kegagalan offboarding ini kecil dan spesifik. Saat pengembang itu pergi, CrowdSec sudah mencabut akses mereka yang lain; akun GitHub-nya dibiarkan tetap aktif, tulis Humeau, karena "kami berpisah secara baik-baik dengan pengembang kami, dan ia ingin menyelesaikan sejumlah pekerjaan." Akun itu dihapus dari organisasi GitHub pada 25 Mei, tiga hari setelah repositori-repositori tersebut sudah disalin.

CrowdSec tidak dapat melihat pencurian itu pada saat itu, dan alasannya perlu dijelaskan secara tepat. Token OAuth tersebut tidak ada dalam log audit organisasi maupun dalam log audit anggota mana pun saat ini, dan pada saat orang mulai mencari, token itu sudah tidak ada lagi: token tersebut telah dibuat, digunakan, dan kedaluwarsa tanpa meninggalkan jejak yang dapat dibaca perusahaan. GitHub hanya menyimpan aktivitas Git dalam jendela bergulir tujuh hari untuk organisasi yang tidak menggunakan paket enterprise, seperti yang dicatat CrowdSec sendiri. Terobosan datang dari tim dukungan GitHub, yang melacak siklus hidup penuh token dan menyediakan aktivitas Git untuk jendela dua jam di sekitar peristiwa penyalinan itu. Dari situlah perusahaan sampai pada akun seorang karyawan yang telah pergi. Keterkaitan kembali ke TanStack berasal dari upaya yang sama.

Arsip yang bocor itu membawa buktinya sendiri. .github/.git/config di dalamnya mencatat URL origin dalam bentuk oauth2:gho_xxxxxxxxx@github.com, yang mengidentifikasi kredensial tersebut sebagai token OAuth GitHub dan cocok dengan metodologi terdokumentasi TeamPCP. CrowdSec mengatakan pihaknya memeriksa mesin pengembang untuk mencari paket berbahaya dan tidak menemukan satu pun versi TanStack yang disisipi backdoor di repositori mereka sendiri — hasil yang digambarkannya sebagai tidak konklusif, bukan sebagai bukti yang membebaskan.

Siapa yang melakukannya, dan seberapa kuat atribusinya

CrowdSec mengaitkan unduhan tersebut dengan "salah satu pendiri BreachForum dan seorang anggota, diencracked", dengan alamat anggota tersebut diberikan sebagai diencracked@cock.li, beroperasi dari IP Toronto dengan zona waktu mesin diatur ke UTC-4. Perusahaan itu menambahkan pernyataan berhati-hatinya sendiri dalam kalimat yang sama: "Setidaknya itulah yang ditunjukkan data Git." Laporan Dark Reading tanggal 22 September membawa atribusi yang sama kepada pendiri BreachForum dan handle diencracked.

Kampanye upstream terdokumentasi lebih baik daripada identitas di baliknya. Paket-paket TanStack mengalami backdoor pada 11 Mei 2026, ketika 84 versi berbahaya di 42 paket dipublikasikan; The Hacker News mencatat kompromi tersebut sebagai CVE-2026-45321 dan mengutip advisory TanStack sendiri untuk payload pencuri kredensial. Linimasa CrowdSec mencatat bahwa pada 22 Mei, hari yang sama dengan salinan repositori, TeamPCP — dilacak oleh CrowdSec sebagai UNC6780 — mengklaim bertanggung jawab atas kompromi repositori milik Mistral AI.

Apa yang sudah mapan, dan apa yang belum

Terkonfirmasi: penyalinan sekitar 170 repositori privat terjadi pada 22 Mei 2026, dalam rentang sembilan menit, menggunakan akun GitHub yang masih valid milik seorang pengembang yang telah meninggalkan perusahaan — rangkaian yang direkonstruksi dari catatan aktivitas Git milik GitHub sendiri, bukan disimpulkan. Juga dipastikan oleh keterangan perusahaan sendiri: tersingkapnya 83 alamat email pengguna dan detail 51 calon investor, pencabutan pada 25 Mei, token SNS yang diuji, serta temuan bahwa tidak ada kode yang diubah dan tidak ada infrastruktur atau basis data yang berhasil diakses.

Tidak dapat dipastikan: paket beracun mana yang sampai ke laptop tersebut, dan kapan. CrowdSec menyatakan secara terang-terangan bahwa mereka tidak mengidentifikasi salah satu pun dari keduanya. Pemindaian repositori perusahaan tidak konklusif, dan mesin-mesin pengembangnya dinyatakan bersih, yang terasa janggal dengan laptop yang, menurut pengakuan perusahaan sendiri, telah disusupi. Kesenjangan ini diakui, bukan ditutup.

Belum diterbitkan: Sisi investigasi GitHub. CrowdSec menyatakan bahwa tim dukungan GitHub mengonfirmasi asal TanStack, tetapi The Hacker News mencatat bahwa laporan perusahaan tersebut tidak memuat temuan dari GitHub sendiri, dan GitHub belum menerbitkan keterangan mereka sendiri mengenai siklus hidup token tersebut.

Koroborasi:Dark Reading, The Hacker News, dan DevOps.com masing-masing memberitakan insiden itu dalam waktu satu minggu, dan ketiganya berlandaskan pada laporan CrowdSec serta advisory TanStack, bukan pada pemeriksaan forensik independen terhadap sistem CrowdSec. Dark Reading menambahkan komentar dari praktisi eksternal, termasuk Denis Calderone dari Suzu Labs, yang menyebut kelalaian pencabutan itu sebagai "hal hari pertama". Catatan riset Cloud Security Alliance bertanggal 20 September mengulangi urutan tersebut, tetapi dokumen itu memuat penafian tersendiri bahwa dokumen tersebut dihasilkan dengan bantuan AI dan belum menjalani tinjauan resmi CSA — perlu diketahui sebelum dokumen itu dihitung sebagai temuan independen kedua. Arsip menilai keyakinan catatan itu A, status disengketakan: salah, kerugian nyata: benar.

Pernyataan pertama, dan koreksinya

Pernyataan publik pertama CrowdSec, pada 17 September, menyatakan bahwa "tidak ada data klien, login/kata sandi, nama, organisasi, atau apa pun yang bocor, dan CrowdSec tidak menyimpan PII atau log klien; dampaknya terbatas pada CrowdSec." Pernyataan itu juga mengemukakan hipotesis teknis: bahwa sebuah komponen internal telah disisipi backdoor untuk mencuri kunci API yang mampu membaca kode privat.

Laporan yang lebih lengkap sehari kemudian menggantikan hipotesis itu dengan keterangan karyawan yang telah keluar, dan mengungkap 83 alamat serta 51 investor. The Hacker News menyebut ini sebagai koreksi atas klaim sebelumnya. Kerangka CrowdSec sendiri lebih sempit: 83 alamat itu berasal dari daftar pemantauan data-science, bukan catatan pelanggan, dan rincian investor bertanggal 2020. Kedua deskripsi itu bisa sama-sama benar — alamat-alamat tersebut bukan akun pelanggan, dan tetap merupakan data pribadi dalam dump yang diterbitkan di forum kriminal. Perusahaan mengatakan akan memberi tahu pengguna dan investor yang terdampak serta melaporkan kebocoran itu kepada pihak berwenang.

Apa yang berubah setelahnya

• Kredensial dan token yang ditemukan dalam arsip dirotasi pada malam tanggal 16 September dan sepanjang tanggal 17 September, dengan sisa rotasi diselesaikan pada pagi berikutnya.

• Deteksi dan respons endpoint kini telah diterapkan pada workstation dan laptop orang-orang yang menangani basis kode atau infrastruktur CrowdSec; perusahaan menyebut Aikido Security sebagai produknya. Humeau mengakui bahwa itu seharusnya sudah diterapkan lebih awal, dan juga mengakui bahwa komputer seorang mantan karyawan kemungkinan besar tidak menjalankannya.

• Ambang batas algoritma konsensus yang terungkap dalam kebocoran sedang disesuaikan, dengan pemantauan yang lebih ketat terhadap deviasi statistik di seluruh jaringan daftar blokir.

• Perusahaan telah menetapkan target untuk memangkas respons yang sama — inventaris, rotasi, forensik, dan pengungkapan — dari 48 jam menjadi kurang dari 24.

Pengguna dan investor yang terdampak sedang dihubungi secara langsung, dan kebocoran tersebut sedang dilaporkan kepada pihak berwenang, menurut pernyataan perusahaan.

Mengapa ini berada di arsip insiden AI

Keterlibatan AI di sini bersifat infrastruktural, dan penting untuk tepat mengenai apa artinya itu. Tidak ada apa pun dalam laporan CrowdSec yang menggambarkan sistem AI yang membuat keputusan selama intrusi; pelakunya adalah seseorang atau beberapa orang yang menggunakan token curian. Yang menjadikan kasus ini insiden industri AI adalah cakupan dampaknya. Pustaka TanStack membangun antarmuka sebagian besar perangkat lunak modern, worm yang memanen token dibangun untuk mengambil kredensial cloud, SSH, dan penyedia model dalam sekali jalan, dan materi yang disalin keluar dari CrowdSec mencakup skrip dan model ilmu data, bukan hanya kode aplikasi.

Kampanye yang sama mencapai perusahaan AI secara langsung. Linimasa CrowdSec mencatat TeamPCP mengklaim repositori Mistral AI pada 22 Mei, dan The Hacker News melaporkan bahwa dua perangkat karyawan OpenAI terdampak, dengan akses tidak sah ke serangkaian terbatas repositori kode internal. Arsip mencatat kasus CrowdSec sebagai korban hilir kedua dari kompromi TanStack Mei, setelah perangkat staf OpenAI tersebut.

Jarak antara salinan dan penemuannya adalah bagian yang seharusnya menjadi sorotan. Repositori tersebut diambil pada 22 Mei; CrowdSec baru mengetahui kebocoran itu pada 16 September, saat tim Fuites Info menghubungi perusahaan mengenai unggahan di pwnforum — 117 hari kemudian, dan bukan dari pemantauan mereka sendiri. Mekanisme yang memungkinkan keterlambatan itu tidak eksotis: akun yang tetap aktif tiga hari lebih lama dari masa kegunaannya, token yang tidak meninggalkan jejak di log yang dapat dibaca perusahaan, dan laptop pengembang tanpa deteksi endpoint. CrowdSec, perusahaan yang menjual deteksi ancaman, memiliki ketiganya.