CrowdSec สูญเสียรีโพซิทอรีส่วนตัว 170 แห่งในเก้านาที เพราะช่องโหว่ในกระบวนการ offboarding

เมื่อวันที่ 22 พฤษภาคม 2026 ระหว่างเวลา 05:52:29 ถึง 06:01:33 UTC มีบุคคลหนึ่งที่ทำงานจากที่อยู่ IP ในโทรอนโต ประเทศแคนาดา ได้ใช้บัญชี GitHub ของนักพัฒนาที่เพิ่งออกจาก CrowdSec เพื่อคัดลอกที่เก็บโค้ดส่วนตัวประมาณ 170 แห่งของบริษัทด้านความปลอดภัยสัญชาติฝรั่งเศสแห่งนี้ CrowdSec เผยแพร่ลำดับเวลาดังกล่าวในรายงานเหตุการณ์ของบริษัทเองเมื่อ 18 กันยายน 2026 — ซึ่งเป็นวันที่คลังเหตุการณ์ AI กำหนดให้กับบันทึกนี้ — หลังจากชุดไฟล์เก็บถาวรของซอร์สโค้ดของบริษัทปรากฏบนตลาดอาชญากรรมไซเบอร์ pwnforum เมื่อวันที่ 16 กันยายน บัญชีดังกล่าวยังคงใช้งานได้เพราะบริษัทจงใจปล่อยให้สิทธิ์การเข้าถึง GitHub ของนักพัฒนายังเปิดอยู่ เพื่อให้เจ้าตัวทำงานบางอย่างให้เสร็จ แล็ปท็อปเครื่องที่เกี่ยวข้องได้ติดเชื้อเมื่อสิบเอ็ดวันก่อนหน้าโดยหนอนขโมยข้อมูลรับรอง Mini Shai-Hulud ที่ TeamPCP ผลักดันผ่านแพ็กเกจ npm ของ TanStack เรื่องเล่านี้ดึงมาจากระเบียนที่ยื่นเมื่อวันที่ 18 กันยายน 2026 และชุดเหตุการณ์ที่จัดทำเอกสารไว้อย่างครบถ้วน — โดยแต่ละรายการมีระดับความรุนแรง ระดับความเชื่อมั่น ธงข้อโต้แย้ง และแหล่งที่มาของตนเอง — อยู่ใน the Orca AI Incident Archive ซึ่งรายการนี้สามารถอ่านเทียบเคียงกับกรณีห่วงโซ่อุปทานอื่น ๆ จากปีเดียวกันได้

การโจรกรรมไม่ได้จำกัดอยู่เพียงโค้ดเท่านั้น รายงานของ CrowdSec ยังเปิดเผยที่อยู่อีเมลของ ผู้ใช้ 83 คน ซึ่งนำมาจากรายการติดตามด้านวิทยาศาสตร์ข้อมูลภายในและส่วนใหญ่เป็นบัญชี Gmail พร้อมด้วยชื่อและนามสกุล ที่อยู่อีเมล และบริบทการลงทุนของ นักลงทุนที่มีศักยภาพ 51 รายจากปี 2020 เมื่อเทียบกับผู้ใช้ราว 150,000 ราย ที่อยู่อีเมล 83 รายการถือเป็นสัดส่วนเล็กน้อย แต่ก็ไม่ใช่ศูนย์ Philippe Humeau ประธานเจ้าหน้าที่บริหารได้สงวนคำขอโทษส่วนตัวไว้สำหรับนักลงทุน: "การที่ชื่อและที่อยู่อีเมลของคุณรั่วไหลเป็นเรื่องที่เราจะหารือโดยตรงกับคุณและหน่วยงานที่มีอำนาจ และสำหรับเรื่องนี้ผมขออภัยเป็นการส่วนตัว"

เก้านาทีนั้นใช้เวลาไปกับอะไรจริง ๆ

บันทึก Git ที่ GitHub ส่งคืนให้ CrowdSec เริ่มเวลา 05:52:32.138 UTC ด้วยการดึงข้อมูลจากหนึ่งในรีโพซิทอรีของบริษัท และกิจกรรมสิ้นสุดเวลา 06:01:33 ตัวเลขประมาณ 170 รีโพซิทอรีส่วนตัวใน archive นั้นมาจากข้อมูล Git ดังกล่าว ในบทความของเขา Humeau อธิบายว่าการเปิดเผยนี้ “จำกัดอยู่ที่ซอร์สโค้ดของ CrowdSecurity ซึ่งรวมถึงรีโพซิทอรีสาธารณะกว่า 130 แห่งและรีโพซิทอรีส่วนตัวจำนวนมาก” DevOps.com ซึ่งรายงานเหตุการณ์นี้เมื่อวันที่ 24 กันยายน ระบุจำนวนรวมของรีโพซิทอรีสาธารณะและส่วนตัวไว้ที่ประมาณ 300 รีโพซิทอรี — เป็นจำนวนที่มากกว่าตัวเลขรีโพซิทอรีส่วนตัวของ CrowdSec เอง และเป็นจำนวนที่รายงานของบริษัทไม่ได้ระบุไว้

เนื้อหาดังกล่าวเป็นทรัพย์สินทั่วไปของบริษัท SaaS ที่เคลื่อนไหวเร็ว ได้แก่ ซอร์สโค้ดของเว็บคอนโซล สคริปต์สำหรับการดีพลอยและระบบอัตโนมัติ และสคริปต์และโมเดลด้าน data science ที่อยู่เบื้องหลังระบบวิเคราะห์ของบริษัท สิ่งที่อ่อนไหวที่สุดที่ CrowdSec ระบุคือ "อัลกอริทึมฉันทามติ" ที่ตัดสินว่า IP address ใดจะถูกใส่ใน blocklist ของบริษัท สถาปัตยกรรมของอัลกอริทึมนี้เป็นข้อมูลสาธารณะอยู่แล้ว แต่เกณฑ์ความหลากหลายและเกณฑ์การตรวจจับยังไม่เปิดเผย และตอนนี้เกณฑ์เหล่านั้นเป็นที่ทราบกันแล้ว Humeau โต้แย้งว่าเกณฑ์เหล่านี้เป็นเป้าหมายที่เคลื่อนที่ และการชี้นำฉันทามติยังต้องใช้เซิร์ฟเวอร์จำนวนมากที่มีต้นทุนสูง บริษัทกล่าวว่าตนสามารถปรับเกณฑ์เหล่านี้ได้และกำลังจับตาดูความคลาดเคลื่อนต่างๆ

ข้อมูลรับรองเป็นส่วนที่อาจเลวร้ายกว่านี้ได้มาก “เราเกือบจะสะอาดหมดจดแล้ว” Humeau เขียนไว้ ความลับที่ใช้งานได้เพียงรายการเดียวในข้อมูลที่หลุดออกมาคือโทเค็น AWS Simple Notification Service ซึ่งมีขอบเขตจำกัดอยู่ที่การเผยแพร่บนหัวข้อเดียว มีคนทดสอบโทเค็นนี้เมื่อ 17 August 2026จาก IP 23.234.84.102 โดยเรียก GetCallerIdentity และ ListTopics กับทั้งหัวข้อ dev และ env แต่ก็ไม่สามารถไปได้ไกลกว่านั้น โทเค็นและความลับอื่น ๆ ส่วนใหญ่ในโค้ดถูกเพิกถอนหรือหมุนเวียนก่อนการรั่วไหล CrowdSec กล่าวว่าไม่มีการเข้าถึงโครงสร้างพื้นฐานและฐานข้อมูลของตน และไม่มีการแก้ไขโค้ดในโปรเจกต์โอเพนซอร์ส ซอร์สโค้ดส่วนตัว หรือไปป์ไลน์การ build ของตน

ทำไมบัญชีนั้นยังใช้งานได้

ความล้มเหลวในการจัดการสิทธิ์การเข้าถึงตอนออกจากงาน (offboarding) ครั้งนี้นั้นเล็กและเจาะจง เมื่อถึงเวลาที่นักพัฒนาคนนั้นจากไป CrowdSec ได้ถอนการเข้าถึงอื่น ๆ ของเขาไปแล้ว บัญชี GitHub ยังคงถูกเปิดใช้งานไว้ Humeau เขียนไว้ เพราะ "เราแยกจากกันด้วยดีกับนักพัฒนาของเรา และเขาต้องการทำงานบางอย่างให้เสร็จสิ้น" บัญชีถูกลบออกจากองค์กร GitHub เมื่อ 25 พฤษภาคม สามวันหลังจากที่รีโพซิทอรีเหล่านั้นถูกคัดลอกไปแล้ว

CrowdSec ไม่สามารถมองเห็นการโจรกรรมในตอนนั้นได้ และเหตุผลนี้ควรค่าแก่การระบุให้ชัดเจน โทเค็น OAuth ไม่ได้ปรากฏอยู่ในบันทึกการตรวจสอบขององค์กรหรือในบันทึกการตรวจสอบของสมาชิกคนใดในปัจจุบัน และเมื่อถึงเวลาที่มีคนไปตรวจสอบ โทเค็นนั้นก็ไม่มีอยู่แล้ว: มันถูกสร้างขึ้น ถูกใช้ และหมดอายุไปโดยไม่ทิ้งร่องรอยที่บริษัทจะอ่านได้ GitHub เก็บกิจกรรม Git ไว้เพียงในช่วงเวลาหมุนเวียนเจ็ดวันสำหรับองค์กรที่ไม่ได้อยู่ในแผน enterprise ดังที่ CrowdSec เองระบุไว้ จุดพลิกผันมาจากทีมสนับสนุนของ GitHub ซึ่งติดตามวงจรชีวิตทั้งหมดของโทเค็นและให้ข้อมูลกิจกรรม Git สำหรับช่วงสองชั่วโมงรอบเวลาที่เกิดการคัดลอก นั่นคือวิธีที่บริษัทมาถึงบัญชีของพนักงานที่ลาออกไปแล้ว ความเชื่อมโยงกลับไปยัง TanStack มาจากกระบวนการเดียวกัน

ไฟล์เก็บถาวรที่รั่วไหลมีหลักฐานอยู่ในตัวเอง โดยที่ .github/.git/configที่อยู่ภายในนั้นบันทึก origin URL ในรูปแบบ oauth2:gho_xxxxxxxxx@github.com ซึ่งระบุว่าข้อมูลรับรองนั้นเป็น GitHub OAuth token และตรงกับวิธีการที่มีการบันทึกไว้ของ TeamPCP CrowdSec กล่าวว่าตนได้ตรวจสอบเครื่องของนักพัฒนาเพื่อหาแพ็กเกจที่เป็นอันตราย และไม่พบเวอร์ชัน TanStack ที่ถูกฝัง backdoor ใด ๆ ในรีโพซิทอรีของตนเองเลย — ซึ่งเป็นผลลัพธ์ที่ตนอธิบายว่ายังสรุปไม่ได้ มากกว่าจะเป็นการพิสูจน์ความบริสุทธิ์

ใครเป็นคนทำ และการระบุว่าเป็นฝีมือของใครนั้นหนักแน่นเพียงใด

CrowdSec ระบุว่าการดาวน์โหลดดังกล่าวมาจาก “หนึ่งในผู้ก่อตั้ง BreachForum และสมาชิกชื่อ diencracked” โดยระบุที่อยู่ของสมาชิกผู้นี้เป็น diencracked@cock.li และใช้งานจาก IP ในโทรอนโตโดยเขตเวลาของเครื่องถูกตั้งเป็น UTC-4 บริษัทเพิ่มข้อสงวนของตนเองในประโยคเดียวกันว่า “อย่างน้อยก็เป็นสิ่งที่ข้อมูล Git แสดง” รายงานของ Dark Reading ฉบับวันที่ 22 กันยายน ระบุที่มาเดียวกันว่าเป็นผู้ก่อตั้ง BreachForum และแฮนเดิล diencracked

แคมเปญต้นทางได้รับการบันทึกไว้อย่างดีกว่าตัวตนของผู้อยู่เบื้องหลัง แพ็กเกจของ TanStack ถูกฝังแบ็กดอร์เมื่อวันที่ 11 พฤษภาคม 2026 เมื่อมีการเผยแพร่เวอร์ชันอันตราย 84 เวอร์ชันใน 42 แพ็กเกจ; The Hacker News บันทึกเหตุการณ์การบุกรุกนี้เป็น CVE-2026-45321 และอ้างอิงประกาศคำแนะนำของ TanStack เองสำหรับเพย์โหลดที่ขโมยข้อมูลรับรอง ไทม์ไลน์ของ CrowdSec ระบุว่าเมื่อวันที่ 22 พฤษภาคม ซึ่งเป็นวันเดียวกับสำเนารีโพซิทอรี TeamPCP — ซึ่ง CrowdSec ติดตามในชื่อ UNC6780 — ได้อ้างความรับผิดชอบต่อการบุกรุกรีโพซิทอรีที่เป็นของ Mistral AI

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

ยืนยันแล้ว:การคัดลอกรีโพซิทอรีส่วนตัวประมาณ 170 แห่งเกิดขึ้นเมื่อวันที่ 22 พฤษภาคม 2026 ภายในช่วงเวลาเก้านาที โดยใช้บัญชี GitHub ที่ยังใช้งานได้ของนักพัฒนาที่ลาออกไปแล้ว — เป็นลำดับเหตุการณ์ที่สร้างขึ้นใหม่จากบันทึกกิจกรรม Git ของ GitHub เอง ไม่ใช่การอนุมาน นอกจากนี้ คำชี้แจงของบริษัทเองยังยืนยันว่า: การเปิดเผยที่อยู่อีเมลของผู้ใช้ 83 ราย และรายละเอียดของนักลงทุนที่มีศักยภาพ 51 ราย การเพิกถอนเมื่อวันที่ 25 พฤษภาคม โทเค็น SNS ที่ถูกตรวจสอบ และข้อค้นพบว่าไม่มีโค้ดใดถูกแก้ไข และไม่มีการเข้าถึงโครงสร้างพื้นฐานหรือฐานข้อมูลใด ๆ

ยังไม่ทราบแน่ชัด: ว่าแพ็กเกจที่ถูกวางยาพิษใดไปถึงแล็ปท็อป และเมื่อใด CrowdSec ระบุตรง ๆ ว่าไม่ได้ระบุทั้งสองอย่าง การสแกนรีโพซิทอรีของบริษัทให้ผลที่ไม่ชี้ชัด และเครื่องของนักพัฒนาตรวจแล้วออกมาสะอาด ซึ่งดูไม่สอดคล้องกับแล็ปท็อปที่ตามคำแถลงของบริษัทเองถูกบุกรุก ช่องว่างนี้ได้รับการยอมรับแทนที่จะถูกปิด

ยังไม่มีการเผยแพร่:ฝั่งของ GitHub ในการสอบสวนครั้งนี้ CrowdSec กล่าวว่าทีมสนับสนุนของ GitHub ยืนยันแหล่งที่มาของ TanStack แต่ The Hacker News ตั้งข้อสังเกตว่ารายงานของบริษัทไม่มีการค้นพบใด ๆ จาก GitHub เอง และ GitHub ก็ยังไม่ได้เผยแพร่บันทึกของตนเองเกี่ยวกับวงจรชีวิตของโทเค็นนี้

การยืนยันจากแหล่งข่าวอื่น: Dark Reading, The Hacker News และ DevOps.com ต่างรายงานเหตุการณ์นี้ภายในหนึ่งสัปดาห์ และทั้งสามแห่งล้วนอ้างอิงจากรายงานของ CrowdSec และคำแนะนำของ TanStack มากกว่าการสอบสวนทางนิติวิทยาศาสตร์ของระบบ CrowdSec อย่างเป็นอิสระ Dark Reading เสริมความเห็นจากผู้ปฏิบัติงานภายนอก รวมถึง Denis Calderone จาก Suzu Labs ผู้ซึ่งเรียกการพลาดการเพิกถอนครั้งนี้ว่าเป็น "เรื่องพื้นฐานตั้งแต่วันแรก" บันทึกวิจัยของ Cloud Security Alliance ลงวันที่ 20 กันยายน ย้ำลำดับเหตุการณ์เดิม แต่เอกสารดังกล่าวมีข้อจำกัดความรับผิดของตัวเองว่าร่างขึ้นโดยใช้ความช่วยเหลือจาก AI และยังไม่ผ่านการตรวจทานอย่างเป็นทางการของ CSA — ควรทราบไว้ก่อนจะนับเป็นข้อค้นพบอิสระชิ้นที่สอง คลังข้อมูลให้คะแนนความน่าเชื่อถือของบันทึกที่ A ข้อโต้แย้งว่าเป็นเท็จ และความเสียหายที่เกิดขึ้นจริงเป็นจริง

ข้อความแรก และการแก้ไข

แถลงการณ์สาธารณะฉบับแรกของ CrowdSec เมื่อวันที่ 17 กันยายน ระบุว่า “ไม่มีข้อมูลลูกค้า ข้อมูลเข้าสู่ระบบ/รหัสผ่าน ชื่อ องค์กร หรือสิ่งอื่นใดรั่วไหล และ CrowdSec ไม่ได้จัดเก็บข้อมูลส่วนบุคคล (PII) หรือบันทึกของลูกค้า ผลกระทบจำกัดอยู่ที่ CrowdSec เท่านั้น” นอกจากนี้ยังได้หยิบยกสมมติฐานทางเทคนิคว่า คอมโพเนนต์ภายในองค์ประกอบหนึ่งถูกใส่แบ็กดอร์เพื่อขโมยคีย์ API ที่สามารถอ่านโค้ดส่วนตัวได้

รายงานฉบับสมบูรณ์กว่าที่ออกมาหนึ่งวันถัดมาได้แทนที่สมมติฐานนั้นด้วยคำชี้แจงของพนักงานที่ลาออกไปแล้ว และเปิดเผยที่อยู่ 83 รายและนักลงทุน 51 ราย Hacker News อธิบายว่านี่คือการแก้ไขข้อกล่าวอ้างก่อนหน้า กรอบคำอธิบายของ CrowdSec เองแคบกว่า โดยระบุว่าที่อยู่ 83 รายมาจากรายการติดตามสำหรับงานวิทยาศาสตร์ข้อมูล ไม่ใช่บันทึกลูกค้า และรายละเอียดนักลงทุนมีอายุตั้งแต่ปี 2020 คำอธิบายทั้งสองอย่างเป็นจริงพร้อมกันได้ — ที่อยู่เหล่านั้นไม่ใช่บัญชีลูกค้า และยังคงเป็นข้อมูลส่วนบุคคลในชุดข้อมูลที่ถูกเผยแพร่บนฟอรัมอาชญากรรม บริษัทกล่าวว่าจะแจ้งผู้ใช้และนักลงทุนที่ได้รับผลกระทบ และรายงานการรั่วไหลต่อหน่วยงานที่เกี่ยวข้อง

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

• ข้อมูลรับรองและโทเค็นที่พบในไฟล์เก็บถาวรได้รับการหมุนเวียนในคืนวันที่ 16 กันยายน และตลอดวันที่ 17 กันยายน โดยการหมุนเวียนส่วนที่เหลือเสร็จสิ้นในเช้าวันถัดไป

• ขณะนี้มีการติดตั้งระบบตรวจจับและตอบสนองที่ปลายทางบนเวิร์กสเตชันและแล็ปท็อปของบุคคลที่เกี่ยวข้องกับโค้ดเบสหรือโครงสร้างพื้นฐานของ CrowdSec แล้ว โดยบริษัทระบุว่าผลิตภัณฑ์ดังกล่าวคือ Aikido Security Humeau ยอมรับว่าควรติดตั้งระบบนี้ไว้ตั้งแต่แรก และยังยอมรับว่าเครื่องของอดีตพนักงานคนหนึ่งไม่น่าจะมีการรันระบบดังกล่าวอยู่

• เกณฑ์ของอัลกอริทึมฉันทามติที่ถูกเปิดเผยในเหตุการณ์ข้อมูลรั่วไหลกำลังได้รับการปรับ พร้อมการตรวจสอบความเบี่ยงเบนทางสถิติที่เข้มงวดยิ่งขึ้นทั่วเครือข่ายบล็อกลิสต์

• บริษัทตั้งเป้าหมายที่จะย่นระยะเวลาการตอบสนองเดียวกัน — การตรวจสอบสินค้าคงคลัง การหมุนเวียน การตรวจพิสูจน์ทางนิติวิทยาศาสตร์ และการเปิดเผยข้อมูล — จาก 48 ชั่วโมงให้เหลือต่ำกว่า 24 ชั่วโมง

• ผู้ใช้และนักลงทุนที่ได้รับผลกระทบกำลังได้รับการติดต่อโดยตรง และกำลังมีการรายงานการรั่วไหลต่อหน่วยงานที่มีอำนาจ ตามถ้อยคำของบริษัท

ทำไมสิ่งนี้จึงอยู่ในคลังเหตุการณ์ด้าน AI

การมีส่วนเกี่ยวข้องของ AI ในที่นี้อยู่ในระดับโครงสร้างพื้นฐาน และควรพูดให้ชัดเจนว่าสิ่งนั้นหมายถึงอะไร ไม่มีส่วนใดในรายงานของ CrowdSec ที่ระบุว่าระบบ AI เป็นผู้ตัดสินใจระหว่างการบุกรุก ผู้ก่อเหตุคือบุคคลหรือกลุ่มบุคคลที่ใช้โทเค็นที่ถูกขโมย สิ่งที่ทำให้กรณีนี้เป็นเหตุการณ์ในอุตสาหกรรม AI คือขอบเขตผลกระทบที่กว้างไกล ไลบรารีของ TanStack ใช้สร้างอินเทอร์เฟซของซอฟต์แวร์สมัยใหม่จำนวนมาก เวิร์มที่เก็บเกี่ยวโทเค็นถูกออกแบบมาเพื่อเก็บข้อมูลรับรองของคลาวด์ SSH และผู้ให้บริการโมเดลในครั้งเดียว และข้อมูลที่ถูกคัดลอกออกจาก CrowdSec รวมถึงสคริปต์และโมเดลด้านวิทยาศาสตร์ข้อมูล ไม่ใช่แค่โค้ดแอปพลิเคชันเท่านั้น

แคมเปญเดียวกันนี้เข้าถึงบริษัท AI โดยตรง ไทม์ไลน์ของ CrowdSec บันทึกว่า TeamPCP อ้างว่าได้เข้าถึงรีโพซิทอรีของ Mistral AI เมื่อวันที่ 22 พฤษภาคม และ The Hacker News รายงานว่าอุปกรณ์ของพนักงาน OpenAI สองเครื่องได้รับผลกระทบ โดยมีการเข้าถึงรีโพซิทอรีโค้ดภายในบางส่วนโดยไม่ได้รับอนุญาต คลังข้อมูลบันทึกกรณีของ CrowdSec ว่าเป็นเหยื่อปลายน้ำรายที่สองของการถูกโจมตีของ TanStack ในเดือนพฤษภาคม ต่อจากอุปกรณ์ของพนักงาน OpenAI เหล่านั้น

ช่องว่างระหว่างสำเนาข้อมูลกับการค้นพบสำเนานั้นคือส่วนที่ควรถูกส่งต่อ รีโพซิทอรีถูกคัดลอกไปเมื่อวันที่ 22 พฤษภาคม CrowdSec ทราบเรื่องการรั่วไหลเมื่อวันที่ 16 กันยายน เมื่อทีม Fuites Info ติดต่อบริษัทเกี่ยวกับโพสต์บน pwnforum — 117 วันให้หลัง และไม่ใช่จากการเฝ้าระวังของบริษัทเอง กลไกที่ทำให้ความล่าช้าเกิดขึ้นได้ไม่ใช่เรื่องแปลกใหม่: บัญชีที่ยังเปิดอยู่เกินความจำเป็นไปสามวัน โทเค็นที่ไม่ทิ้งร่องรอยไว้ในบันทึกที่บริษัทอ่านได้ และแล็ปท็อปของนักพัฒนาที่ไม่มีระบบตรวจจับ endpoint CrowdSec ซึ่งเป็นบริษัทที่ขายระบบตรวจจับภัยคุกคาม มีทั้งสามอย่างนี้