GitHub 首席安全官 Mike Hanley 透露，攻击者正在使用被盗的 OAuth 用户令牌从私有存储库中下载数据。

有证据表明，攻击者滥用被盗的 OAuth 用户令牌发给两个第三方 OAuth 集成商 Heroku 和 Travis-CI，然后从包括 npm 在内的数十个组织下载数据。这些集成商维护的应用程序被 GitHub 用户使用，包括 GitHub 本身。

攻击者并非通过入侵 GitHub 或其系统获得了这些令牌，因为 GitHub 未以原始可用格式存储相关令牌。

应用程序和服务使用 OAuth 访问令牌以授权访问特定的用户数据并相互通信，而无需共享实际凭据。OAuth 访问令牌是用于将授权从单点登录 ( SSO ) 服务传递到另一个应用程序的最常用方法之一。

GitHub 安全于 4 月 12 日发现，有攻击者使用泄露的 AWS API 密钥对 GitHub 的 npm 生产基础设施进行未经授权的访问。这个 AWS API 密钥是攻击者通过使用窃取的 OAuth 令牌从一组私有 npm 仓库中获得的，但攻击者没有修改任何 GitHub 包或访问任何用户帐户数据，只下载了受影响的私有仓库代码。

这次 OAuth 用户令牌泄露，受影响的服务包括：Heroku Dashboard 和 Travis CI ，GitHub 已经撤销了与受影响应用程序相关的访问令牌，并以邮件通知所有已知受影响的用户和组织。