Brecha de datos de 2026 en la cadena de suministro de Checkmarx en GitHub

La página de Checkmarx que reúne la información sobre el incidente, actualizada el 6 de julio, indica que habían concluido tanto la investigación respaldada por Mandiant como los trabajos de refuerzo de la seguridad, y que el incidente estaba totalmente contenido. Su cronología oficial vincula directamente el acceso inicial, los artefactos maliciosos, la exfiltración del 30 de marzo, la publicación del 25 de abril y las medidas de respuesta posteriores como partes de un mismo incidente.

BleepingComputer informó de forma independiente el 28 de abril que Checkmarx había confirmado que los datos publicados pertenecían a la empresa y procedían de un repositorio privado de GitHub. El medio señaló que había observado un paquete de 96 GB, pero que no había examinado su contenido.

Según Checkmarx, el incidente tuvo su origen en el ataque a la cadena de suministro de Trivy atribuido a TeamPCP. El 19 de marzo, componentes maliciosos de Trivy recopilaron credenciales de usuarios que dependían de esos componentes, y los atacantes utilizaron esas credenciales para entrar en el entorno de GitHub de Checkmarx. La empresa detectó el acceso no autorizado el 23 de marzo, pero las credenciales comprometidas o almacenadas en caché permitieron la actividad posterior.

El acceso a GitHub permitió a los atacantes interactuar con los repositorios y publicar código malicioso a través de ciertos canales de distribución externos. Checkmarx revocó los permisos de publicación, rotó las credenciales, bloqueó el acceso saliente a la infraestructura de los atacantes y bloqueó los repositorios afectados. Notificó el incidente a las fuerzas de seguridad y a las autoridades pertinentes, y contrató a Mandiant para que prestara apoyo en el análisis forense.

La categoría de datos confirmada corresponde a datos exfiltrados de los repositorios de Checkmarx en GitHub. La empresa no publicó un inventario detallado que desglosara el contenido en código fuente, configuración, documentación, credenciales u otros archivos. La exfiltración del 30 de marzo y la publicación del 25 de abril están confirmadas, pero la actualización oficial final no cuantificó el tamaño del paquete ni detalló las categorías de los archivos que contenía.

Checkmarx señaló que sus repositorios de GitHub están separados del entorno de producción de los clientes y que, como práctica habitual, no se almacenan datos de clientes en ellos. La revisión concluida por Mandiant confirmó que los atacantes no accedieron a Checkmarx One SaaS y que el entorno de producción de AWS no se vio afectado. Por tanto, el código fuente de los clientes, los resultados de los análisis y los datos de SaaS no forman parte de las categorías de datos de este registro.

El resumen oficial indica que durante la oleada de marzo se publicaron GitHub Actions maliciosas y extensiones maliciosas de VS Code en Open VSX. Una segunda oleada, el 22 de abril, afectó a versiones identificadas de las imágenes Docker de Checkmarx KICS, de Checkmarx AST GitHub Action y de las extensiones AST Results y Developer Assist en VS Code y Open VSX. No se sobrescribieron las versiones publicadas anteriormente que se sabía que eran seguras, y el riesgo se limitó a periodos de publicación definidos.

El 9 de mayo, una cuenta de servicio externa publicó una versión modificada del plugin Checkmarx Jenkins AST en Jenkins Marketplace; la empresa proporcionó versiones limpias y hashes. Estos efectos en la cadena de suministro implican que podrían haberse robado tokens, claves, archivos de configuración u otros secretos de entornos de desarrollo de terceros que ejecutaron los artefactos afectados. Checkmarx no publicó un total verificado de descargas ni de entornos de terceros que realmente resultaron comprometidos.

Las conclusiones finales de Mandiant circunscribieron la actividad de los atacantes al entorno de GitHub de Checkmarx, a un número limitado de estaciones de trabajo infectadas y a un reconocimiento inicial de las credenciales de AWS de Checkmarx. El entorno de producción de AWS no se vio afectado, no hubo acceso a Checkmarx One SaaS y el código malicioso se eliminó del entorno de GitHub. La última actividad observada dentro de Checkmarx tuvo lugar el 22 de abril.

El producto CxSAST para instalación local y su instalador no resultaron comprometidos; el riesgo estaba relacionado con componentes distribuidos externamente. Las organizaciones que ejecutaron un artefacto afectado durante el periodo de publicación indicado seguían teniendo que inspeccionar sus propios entornos, buscar indicadores y rotar los secretos cuando hubiera sospechas de compromiso. Este registro confirma la brecha de datos corporativos de Checkmarx, pero no afirma que todos los clientes de Checkmarx sufrieran automáticamente una brecha.

La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas. Los datos cuyo robo se ha verificado son datos de repositorios de GitHub. Los artefactos de desarrollo maliciosos se describen como el efecto que ese mismo acceso inicial tuvo en las etapas posteriores de la cadena de suministro.

La organización no publicó un total verificable de personas o registros afectados. Que no se haya revelado una cifra no significa que el incidente no tuviera consecuencias; significa que las fuentes públicas no ofrecen un total fiable. La atribución a LAPSUS$ y la cifra de 96 GB del paquete aparecen en informaciones independientes, pero Checkmarx no las adoptó como categoría definitiva de datos ni como total de personas, por lo que se excluyen de los campos numéricos. Los datos de producción de los clientes y Checkmarx One SaaS siguen fuera del alcance confirmado.