Разработчик покинул компанию. Его OAuth-токен — нет. Девять минут чужой сессии — и у злоумышленника около 170 приватных репозиториев, а в аудит-логах ни строки.
18 сентября security-компания CrowdSec опубликовала редкий по прозрачности постмортем. 22 мая, в окно 05:52–06:01 UTC, злоумышленник склонировал ~170 приватных GitHub-репозиториев через OAuth-токен разработчика, который уже ушёл из компании: доступ отозвали лишь 25 мая, через три дня. Ноутбук сотрудника был скомпрометирован в майской кампании Mini Shai-Hulud против пакетов TanStack в npm — вредоносные версии крали учётные данные с машин разработчиков. Клонирование через OAuth не оставило следов в аудит-логах: о копировании узнали через четыре месяца, 16 сентября, когда архив всплыл на форуме утечек. Вместе с кодом там оказались e-mail-адреса 83 пользователей (<0,05% из ~150 тыс.) и данные 51 потенциального инвестора раунда 2020 года. Инфраструктура и базы не затронуты, код не изменялся, единственный найденный в коде AWS SNS-токен был ограничен по правам.
Две дыры сошлись в одну: токен пережил сотрудника, а способ копирования оказался невидим для стандартного аудита. Каждая по отдельности — рутинный долг; вместе — четыре месяца вашего кода в чужих руках без единого сигнала.
Что это значит тимлиду. Оффбординг — не тикет HR, а процедура безопасности с SLA «в день ухода». Три пункта, которые стоит проверить сегодня, не дожидаясь ничьего заявления. Ревокация OAuth-токенов и SSH-ключей — в одной процедуре с отключением аккаунта, а не отдельным тикетом «когда дойдут руки»: у CrowdSec между шагами прошло три дня, злоумышленнику хватило девяти минут. TTL на токены: ключ без срока жизни — дверь, которая однажды останется без стража. Алертинг на массовое клонирование: если мониторинг не отличает «разработчик обновил репозиторий» от «кто-то выгреб 170 за девять минут», у вас не мониторинг — у вас архив.
И спорное. «Инсайдер» сегодня — всё реже человек со зла и всё чаще скрипт, действующий от имени его скомпрометированной сессии. Поэтому расставайтесь с людьми по-человечески — и в тот же час считайте их сессии скомпрометированными. В этом нет подозрения к ушедшему — только уважение к тому, что он оставил под вашей стражей.
📎 crowdsec.net/blog/tanstack-supply-chain-attack-analysis · thehackernews.com/2026/09/crowdsec-says-tanstack-npm-attack-led.html