CrowdSec meldt diefstal van broncode via gehackte TanStack-pakketten

Cybersecuritybedrijf CrowdSec heeft bekendgemaakt dat aanvallers in mei 2026 toegang kregen tot een deel van zijn private broncode op GitHub. De inbraak zelf vond maanden geleden plaats, maar CrowdSec kwam er pas op 16 september achter, nadat een externe partij het bedrijf had gewaarschuwd. Dat meldt Security.NL, en CrowdSec bevestigt het incident zelf in een verklaring op de eigen blog.

Vergiftigd pakket als toegangspoort

De aanvallers kwamen niet rechtstreeks bij CrowdSec binnen, maar via een omweg die steeds vaker opduikt in dit soort incidenten: een supply chain-aanval op een populair open source-project. In mei werden tientallen pakketten van TanStack, een veelgebruikte set JavaScript-bibliotheken, besmet met malware die inloggegevens en tokens buitmaakt. CrowdSec gebruikte een van die besmette onderdelen in zijn eigen ontwikkelomgeving, waardoor een API-sleutel van een CI/CD-component in verkeerde handen viel. Met die sleutel konden de aanvallers bij de private codebase van het bedrijf.

Op 22 mei werden zo rond de 170 private GitHub-repositories van CrowdSec gedownload, aldus de berichtgeving. Het ging om broncode van de SaaS-console van het bedrijf, delen van de AWS-cloudinfrastructuur, een aantal connectoren en automatiseringsscripts. De publieke repository's van CrowdSec, waaronder de open source Security Engine, stonden hier los van: die code is sowieso al openbaar.

Vier maanden onopgemerkt

Wat opvalt, is de tijd die tussen de inbraak en de ontdekking zat. CrowdSec zelf kwam er niet zelfstandig achter dat er was ingebroken: het bedrijf werd erop gewezen door een externe onderzoeker, via het Franse securitymedium Fuites Infos. Vanaf dat moment ging het bedrijf naar eigen zeggen snel te werk: binnen een dag werd het incident onderzocht, bevestigd en publiek gemaakt, en werden alle tokens en credentials die mogelijk waren blootgesteld vervangen.

CrowdSec benadrukt dat er geen klantgegevens zijn gestolen. Het bedrijf bewaart geen persoonsgegevens of logs van klanten in de getroffen repository's, en het securityteam heeft naar eigen zeggen geen aanwijzingen gevonden dat de buitgemaakte code of gegevens zijn gebruikt om verder in te breken bij klanten. De impact blijft volgens CrowdSec dan ook beperkt tot het bedrijf zelf.

Wat dit betekent voor jouw bedrijf

Dit incident is een goed voorbeeld van hoe kwetsbaar de softwareketen achter een website of applicatie kan zijn. Niet CrowdSec zelf werd rechtstreeks aangevallen, maar een bibliotheek die het bedrijf via npm binnenhaalde als bouwsteen voor zijn eigen software. Precies dat soort indirecte aanvallen zagen we deze maand vaker: eerder meldden we al hoe een aanvaller een AI-codeerassistent kaapte om Shai-Hulud-malware te verspreiden via besmette pakketten in honderden repositories.

Voor een ondernemer die zelf geen developer in dienst heeft, voelt dit misschien ver van je bed. Toch draait vrijwel elke moderne website of webshop op een stapel van externe bibliotheken en plugins die je zelf niet allemaal kunt controleren. Daarom is het belangrijk dat iemand in de gaten houdt welke afhankelijkheden je site gebruikt, of ze nog worden onderhouden, en of er updates nodig zijn zodra er een lek in een van die onderdelen opduikt. Bij website-onderhoud en beheer van Infotrends houden we dat structureel voor je bij, zodat een kwetsbaarheid in een onderliggende bibliotheek niet onopgemerkt blijft liggen.

Wil je op de hoogte blijven van dit soort ontwikkelingen? Kijk dan geregeld op onze nieuwspagina.

Bron: Security.NL, met een eigen verklaring van CrowdSec.