Eu avisei: 3.800 repositórios do GitHub vazaram. E o seu código, está onde?
Uma extensão do VS Code na máquina de um funcionário abriu a porta, e cerca de 3.800 repositórios do GitHub foram embora. Eu guardo o meu código num GitLab atrás de VPN, e não aceito ouvir que a superfície de ataque é a mesma.
🎧 PREFERE OUVIR? · 6 min · Podcast Em Produção
Este artigo também é um episódio do podcast Josimar JMV | Em Produção — o mesmo vídeo, só o áudio, normalizado pra fone.
Gravei esses 6 minutos no canal @josimarjmv em 25 de maio de 2026, com a notícia ainda quente e o meu bonequinho do GitLab na mão. Assista e leia junto: aqui embaixo eu conto a mesma coisa por escrito, com o que se confirmou depois.
em maio de 2026 o GitHub confirmou que uma extensão envenenada do VS Code, instalada na máquina de um funcionário, permitiu levar cerca de 3.800 repositórios internos; o grupo TeamPCP pôs tudo à venda por pelo menos US$ 50 mil. Pra mim a lição não muda: código e dado de cliente sério eu não ponho em serviço aberto na internet. O meu GitLab roda em servidor próprio, numa rede privada acessada só por VPN, e isso é uma superfície de ataque muito menor do que a de uma plataforma pública que todo hacker do mundo está olhando.
"A superfície de ataque é a mesma": parei de ler ali
Eu avisei. E esse sorriso na thumb não é de felicidade, é de desespero. Fiz um vídeo de GitLab versus GitHub e recebi alguns comentários. Teve gente escrevendo, logo na primeira linha: "ah, a superfície de ataque é a mesma". A hora que eu li isso, parei de ler.
É sério que você vem me falar que um GitLab instalado em servidores locais, protegidos por uma rede privada, onde só quem tem acesso à VPN daquela rede chega nele, tem a mesma superfície de ataque do GitHub? Tá de brincadeira comigo, colega. Eu não sei qual é a amplitude daquilo que você enxerga, mas eu trabalho com infraestrutura e segurança. Vamos estudar segurança, vamos estudar rede, pra você entender isso.
Não é palpite de fora: eu tenho uma empresa de tecnologia há 20 anos e o meu código mora num GitLab nosso, em infraestrutura nossa. Como isso funciona no dia a dia, com centenas de microsserviços, eu contei em GitLab próprio: 300 microsserviços sem pagar GitHub.
O que aconteceu com os 3.800 repositórios
Quando eu gravei tinha acabado de estourar: mais de 3.800 repositórios do GitHub foram de arrasta, foram pro brejo. O que ficou confirmado pelo próprio GitHub e pela imprensa de segurança, conferido por mim em 15 de outubro de 2026:
- 19 de maio de 2026: o GitHub anunciou que investigava acesso não autorizado e, horas depois, confirmou o comprometimento, no perfil oficial do GitHub no X.
- A porta de entrada: a máquina de um funcionário, comprometida por uma versão envenenada de uma extensão do VS Code. O GitHub tirou a versão maliciosa do ar, isolou a máquina e começou a trocar credenciais.
- O tamanho: cerca de 3.800 repositórios levados. O grupo TeamPCP assumiu, falou em 4.000 e pôs o material à venda por pelo menos 50 mil dólares, dizendo que se não aparecesse comprador ia publicar de graça (reportagem da CSO Online de 20/05/2026).
Repara onde foi a falha. Não foi um supercomputador quebrando criptografia. Foi uma extensão de editor na máquina de um colaborador. A maior fraqueza, muitas vezes, está no meio do caminho, e nem é na própria estrutura.
Nota de cronologia. Na gravação eu perguntei: "será que o código da sua empresa tá lá? Será que vazou?". Era o que todo mundo estava se perguntando naquele dia. O que o GitHub informou depois é que, pela avaliação dele, só repositórios internos do próprio GitHub foram levados, e não os dos clientes. Ótimo pra quem tem código lá. Mas pensa no que isso quer dizer: a empresa que guarda o código de milhões de desenvolvedores teve o próprio código levado por causa de uma extensão de editor. A pergunta continua valendo.
Na internet, todo mundo está olhando pro mesmo lugar
Agora me fala: a sua empresa hospeda código sério, código pra atender governo, código de SaaS com cliente pagando, no GitHub? E nesse ambiente de inteligência artificial, com o tal do Claude Mythos tacando terror em todo mundo na segurança, é hora de fechar a casinha. O Mythos é o modelo que a própria Anthropic segurou e liberou só pra parceiros e quem mantém software crítico, por causa da capacidade de achar falha, como ela explica na página do Project Glasswing.
Pensa comigo, o que é mais fácil: ser invadido estando num ambiente protegido, com VPN, tudo certinho, ou num negócio que está na internet? É muito óbvio. Tudo que é publicado na internet fica sujeito à análise massiva de hacker e de quem entende da comunidade, e fica sujeito à invasão em massa.
E não me entenda errado: até no ambiente on-premise, se você não tiver noção de segurança, você não vai conseguir fazer em lugar nenhum. GitLab próprio mal configurado e exposto também cai. A diferença é que, bem feito, ele não está na vitrine.
| GitHub (serviço público) | Meu GitLab (servidor próprio) | |
|---|---|---|
| Quem consegue chegar na tela de login | Qualquer pessoa na internet | Só quem está na VPN da rede privada |
| Quanto atacante está olhando | O mundo inteiro, porque é onde está o código de todo mundo | Quase ninguém sabe que ele existe |
| Quem decide a correção e o backup | A plataforma | Eu e a minha equipe |
| O que continua exigindo cuidado | Extensão, token e máquina de cada colaborador | Extensão, token e máquina de cada colaborador |
A última linha é igual nas duas colunas de propósito. A máquina do desenvolvedor é ponto fraco em qualquer cenário, e foi exatamente por ali que o GitHub caiu. O resto da tabela é o que eu escolho não terceirizar.
O meu pesadelo se chama formulário de contato
Vou dar o maior exemplo de todos: WordPress. Os plugins de WordPress estão lá com código-fonte aberto, exceto os que são protegidos e criptografados, e ainda assim tem engenharia reversa. Agora pensa no Contact Form. Eu tenho pesadelo com esse nome: spam. Eu tenho mais de 10 sites, e nos meus formulários de lead é um pesadelo.
Por quê? É um negócio aberto, que todo mundo usa. O atacante que quer roubar dado ou fazer spam olha e fala: "olha quanta instalação nesse formulário de contato, é aqui que eu vou investir o meu tempo". É óbvio. Pra você ter ideia do tamanho, o Contact Form 7 aparece com mais de 10 milhões de instalações ativas na página do plugin no WordPress.org (conferi em 15/10/2026). O que eu passei com WordPress invadido está em meu WordPress foi hackeado três vezes.
Com o Supabase é a mesma lógica. Um monte de gente fazendo vibe code com banco de dados remoto: é aqui que eu vou roubar dado. É óbvio, meu filho. Se põe do outro lado da mesa e pensa como hacker: o que o cara ia fazer? Os riscos que me fazem não usar estão em Supabase em produção: os 3 riscos.
Velotrol é pra brincar, não pra dado de cliente
Você acha que eu ia ter coragem de botar dado de cliente meu no Supabase? Se eu quiser botar o meu menino de 3 anos pra programar, aprender alguma coisa, tudo bem. Brinquedinho de criança, velotrol. Agora, negócio sério, com dinheiro, coisa que você quer vender pra cliente, no Supabase ou no GitHub online? O máximo que eu usei o GitHub foi pra receber teste de desenvolvedor que queria entrar na minha empresa.
"Ah, mas desse jeito você quer que a gente fique reinventando a roda." Não é reinventar a roda, filhinho. É que quando você tem dinheiro de cliente entrando, você tem que fazer o negócio direito:
- LGPD: o dado do seu cliente é responsabilidade sua, não da ferramenta que você escolheu.
- Estabilidade: cliente fora do ar é você fora do ar.
- Backup e rollback: tudo que precisar pra voltar atrás quando der errado, porque vai dar.
- Ambientes separados: teste, desenvolvimento, staging e produção.
Eu já expliquei em detalhe por que essas ferramentas servem pra aprender e testar, mas não pra segurar produção, em por que eu não uso GitHub, Supabase ou Firebase em produção. E a disponibilidade é outro capítulo: em GitHub caiu de novo eu conto as quedas que pararam quem dependia dele.
O software local vai explodir, e a segurança vai junto
Eu acredito muito que o software vai ficar local. Olha o que aconteceu com o transporte: além do Uber e do 99, hoje praticamente toda região tem o seu aplicativo próprio de corrida. Na minha região tem. Eu acho que o software vai pelo mesmo caminho: a gente vai ter software pra realidade local, graças ao vibe code.
Fazer um CRM simples pra padaria, pra mercado, pra qualquer coisa vai ficar muito simples pra quem tem noção de código. Só que na hora de botar em produção, aí o bicho pega. Você ganhou os seus primeiros mil usuários, está ganhando o seu rico dinheirinho, e não dá pra ficar usando testinho de tutorial de YouTube pra segurar isso. Mesmo que seja cliente local, a gente precisa entender de segurança. Por isso eu acho que a galera tem que se especializar em infraestrutura e segurança também. O que eu confiro antes de subir está em vibe coder: o que eu confiro antes de subir pra produção.
Eu falo com as minhas feridas
Você nunca teve dado sequestrado, nunca teve cliente fora do ar. Você não sabe o que é isso. Eu já tive. São 20 anos: dado sequestrado, sistema fora do ar, site hackeado, WordPress, tudo que você pensar na face da Terra eu já passei. E estou te falando com as minhas dores e as minhas feridas.
Então eu falo de novo: não usa GitHub em produção. Acorda, está na hora de jogar o jogo sério. E o jogo sério é protegido.
Montar a sua própria casa protegida
Se o que você quer é aprender a subir servidor próprio, rede privada, VPN e o seu próprio GitLab, sem depender de serviço aberto na internet, esse é o assunto da Imersão de Infraestrutura. Formato, data e condição são os da página dela, não desta gravação.
Discorda? Concorda? Tem um caso parecido? Aqui não tem caixa de comentário de propósito: segunda-feira, ao meio-dia, eu faço live no canal e a gente conversa sobre isso ao vivo — sem corte, como sempre.
Ver as lives no canal @josimarjmv →Perguntas frequentes
O que aconteceu com os 3.800 repositórios do GitHub?
Em 19 de maio de 2026 o GitHub detectou acesso não autorizado: a máquina de um funcionário foi comprometida por uma versão envenenada de uma extensão do VS Code, e cerca de 3.800 repositórios foram levados. O grupo TeamPCP assumiu e pôs o material à venda por pelo menos 50 mil dólares, ameaçando publicar de graça se ninguém comprasse.
O código dos clientes do GitHub vazou?
Segundo o próprio GitHub, não: a avaliação dele é que só repositórios internos do GitHub foram levados. Na gravação eu levantei a dúvida porque a notícia tinha acabado de estourar. O ponto que fica é outro: a plataforma onde você guarda o seu código caiu por uma extensão de editor na máquina de um colaborador.
Um GitLab próprio tem a mesma superfície de ataque do GitHub?
Não. O meu GitLab roda em servidor local, numa rede privada, e só quem tem acesso à VPN daquela rede chega nele. O GitHub está aberto na internet pra qualquer um tentar. Sem noção de segurança você não protege nada em lugar nenhum, mas ser invadido dentro de um ambiente protegido por VPN é muito mais difícil do que num serviço público.
Dá pra usar GitHub ou Supabase em produção?
Pra brincar e aprender, tudo bem. Pra código e dado de cliente pagante, eu não uso. O máximo que eu usei o GitHub foi pra receber teste de desenvolvedor que queria entrar na minha empresa. Quem recebe dinheiro de cliente tem que garantir LGPD, estabilidade, backup e rollback, com teste, desenvolvimento, staging e produção separados.
Por que ferramenta popular vira alvo de ataque?
Porque o atacante investe o tempo onde tem mais gente. Plugin de WordPress tem código aberto pra qualquer um analisar, e um formulário de contato instalado em milhões de sites é o lugar óbvio pra fazer spam e roubar dado. Com banco remoto usado em massa por quem faz vibe code é a mesma lógica. Pensa como o hacker do outro lado da mesa.
Software local feito com vibe code precisa de segurança?
Precisa, e muito. Eu acredito que vai ter muito software pra realidade local, como CRM de padaria ou de mercado, e que fazer vai ficar simples pra quem tem noção de código. O bicho pega na hora de botar em produção: tutorial de YouTube não segura dado sequestrado, cliente fora do ar nem site hackeado.
Onde é mais fácil ser invadido?
No que está publicado na internet. Tudo que está exposto sofre análise massiva de hacker e de quem entende da comunidade, e fica sujeito a invasão em massa. E muitas vezes a maior fraqueza nem está na estrutura: está no meio do caminho, como foi a extensão do VS Code no caso do GitHub.
Baseado na gravação do canal @josimarjmv publicada em 25/05/2026 (5min58), com transcrição própria das legendas do próprio vídeo.
O que veio da gravação e o que é apuração minha, com as fontes
Da gravação: o "eu avisei" com o bonequinho do GitLab; os comentários do vídeo de GitLab versus GitHub dizendo que a superfície de ataque é a mesma, e a minha resposta (GitLab em servidor local, rede privada, acesso só por VPN); os 3.800 repositórios que "foram de arrasta" e os 50 mil pedidos pelos atacantes; a pergunta se o código da sua empresa estava lá; o Claude Mythos tacando terror na segurança; o Supabase e o GitHub como velotrol, e o GitHub usado por mim só pra receber teste de desenvolvedor; LGPD, estabilidade, backup, rollback e os ambientes de teste, desenvolvimento, staging e produção; o on-premise que também cai sem noção de segurança; a análise massiva do que está na internet; os plugins de WordPress de código aberto e o meu pesadelo de spam no Contact Form, com mais de 10 sites; o banco remoto de vibe code como alvo; a falha "no meio do caminho" por um colaborador no VS Code; os primeiros mil usuários; o app de corrida próprio de cada região e o software local feito com vibe code; o CRM de padaria e de mercado; os 20 anos com dado sequestrado, sistema fora do ar e site hackeado. Ficaram fora deste texto: o nome do aplicativo de corrida da minha região e a menção a outro vídeo meu sobre os técnicos.
Apuração minha (15/10/2026): a data, a extensão do VS Code como porta de entrada e a resposta do GitHub, no perfil oficial do GitHub no X e na reportagem da CSO Online, que também traz a avaliação do GitHub de que só repositórios internos foram afetados, o grupo TeamPCP, os 4.000 repositórios alegados e a venda por pelo menos 50 mil dólares (o grupo disse que não era resgate). O Claude Mythos Preview restrito a parceiros, na página do Project Glasswing, da Anthropic. As mais de 10 milhões de instalações ativas do Contact Form 7, na página do plugin no WordPress.org. A tabela GitHub × GitLab é organização minha, feita depois, em cima do que eu disse; a nota de cronologia corrige o tempo da dúvida, não a tese.