Heroku ประกาศเปิดการเชื่อมต่อเข้ากับ GitHub ดังเดิม หลังจากปิดให้บริการไปตั้งแต่ช่วงกลางเดือนเมษายน เมื่อทาง GitHub พบว่าโทเค็นรั่วไหล นับเป็นการปิดเคสใหญ่ที่ทำให้บริการทำงานได้ไม่สมบูรณ์นานกว่าหนึ่งเดือน

ทาง Heroku ระบุว่าจะทำงานร่วมกับ GitHub เพื่อให้สามารถออกโทเค็นที่ได้สิทธิ์เท่าที่จำเป็นสำหรับการทำงานร่วมกันเท่านั้น จากเดิมที่เป็นการขอสิทธิ์ repo ซึ่งได้สิทธิ์มาเกินที่ใช้งาน พร้อมกับเตรียมเปิดใช้มาตรฐาน RFC8705 สำหรับการล็อกโทเค็นเข้ากับใบรับรองเข้ารหัส

เหตุการณ์ Heroku ถูกคนร้ายเข้าถึงฐานข้อมูลในช่วงเดือนเมษายน จนกระทั่งโทเค็น GitHub รั่วไหลยังไม่จบง่ายๆ โดยวันนี้บริษัทส่งอีเมลแจ้งลูกค้าว่าอาจจะมีข้อมูลอื่นๆ รั่วไหลเพิ่มเติม

ข้อมูลที่คนร้ายอาจจะได้ไปคือ pipeline-level config vars ซึ่งอาจจะมีโทเค็นของบริการอื่นๆ นอกเหนือจาก GitHub ผู้ใช้ Heroku ที่เก็บข้อมูลควรรีบรีเซ็ตโทเค็นเหล่านี้ทั้งหมด

ทาง Heroku ระบุว่าตรวจสอบพบว่าคนร้ายเข้าถึงฐานข้อมูล pipeline นี้เมื่อวันที่ 16 พฤษภาคมที่ผ่านมาจึงนำมาแจ้งลูกค้า และคาดว่ากระบวนการสอบสวนจะเสร็จสิ้นในวันที่ 30 พฤษภาคมนี้

เมื่อกลางเดือนเมษายนที่ผ่านมา GitHub แจ้งผู้ใช้ว่ามีโทเค็นรั่วไหลจำนวนหนึ่ง โดยพบว่าโทเค็นเหล่านี้ออกให้กับ Heroku และ Travis-CI ตอนนี้ทาง Heroku ก็ออกมายืนยันแล้วว่าฐานข้อมูลรั่วไหลจริง

Heroku ระบุว่าคนร้ายเข้าถึงฐานข้อมูลได้เมื่อวันที่ 7 เมษายนที่ผ่านมา และเริ่มใช้งานโทเค็นในวันที่ 8 เมษายน ตัว Heroku เองก็ถูกคนร้ายใช้โทเค็นขโมยซอร์สโค้ดออกไปจาก GitHub เมื่อวันที่ 9 เมษายน ทาง GitHub รู้ตัวในวันที่ 12 เมษายนเนื่องจากคนร้ายใช้โทเค็นของ npm