O alcance do ataque por extensão adulterada, com milhares de repositórios internos comprometidos, decorre menos da técnica usada e mais de uma característica comum dos ambientes de desenvolvimento: credencial ampla e sem prazo.
A conta é direta. Uma pessoa que trabalha em cinco projetos costuma ter, na mesma máquina, acesso aos cinco, mais chave de nuvem compartilhada pela equipe e credencial de publicação de pacote. Colher uma máquina rende esse conjunto inteiro.
O que amplifica é a ausência de expiração. Chave criada há dois anos para resolver um problema pontual raramente é revogada, porque revogar exige saber quem ainda depende dela, e essa informação costuma não existir.
A correção não é cara e é impopular por atrito: credencial que expira em horas, escopo por projeto em vez de por pessoa e rotação automática. Cada uma dessas medidas incomoda um pouco todo dia e reduz muito o estrago quando alguém entra.
O ponto que o incidente deixa claro é que a máquina de quem programa virou o ativo mais concentrado de acesso da empresa, e quase nunca é tratada como tal.