Engenharia social minuciosa burlou camadas de segurança e mirou a cadeia de dependências
Axios – O popular cliente HTTP para JavaScript, com mais de 17 milhões de downloads semanais no npm, teve a conta do seu mantenedor líder comprometida recentemente após uma campanha de engenharia social que se desenrolou por semanas e terminou na publicação de duas versões maliciosas do pacote.
- Em resumo: atacantes clonaram a identidade de uma empresa legítima, enganaram o desenvolvedor e injetaram código nocivo em projetos que dependem do Axios.
A anatomia do golpe que driblou o 2FA
Segundo análise pós-incidente, os criminosos criaram um falso processo seletivo, sites idênticos aos da suposta companhia e perfis de executivos em redes profissionais. O objetivo era ganhar confiança para solicitar acesso colaborativo ao repositório npm. Casos semelhantes foram descritos pelo The Hacker News, que aponta a cadeia de suprimentos open source como um dos vetores mais explorados em 2023.
“Os invasores se passaram por uma empresa legítima, clonando sua marca e as imagens de seus fundadores”, detalha o relatório divulgado após o incidente.
Risco sistêmico: dependências em cascata e impacto corporativo
Uma única biblioteca comprometida pode propagar código malicioso para milhares de aplicativos. Só no ecossistema npm, pesquisas da Sonatype indicam crescimento de 742 % em ataques à supply chain desde 2019. Em ambientes corporativos, o Axios costuma integrar pipelines CI/CD, microserviços em serverless AWS Lambda e até APIs de front-end em stacks React ou Vue, ampliando o vetor de exposição.
Especialistas recomendam políticas de zero trust, assinatura digital de pacotes e escaneamento contínuo de dependências como salvaguardas mínimas após o caso Axios. Além disso, repositórios privados e uso do Provenance no padrão SLSA (Supply-chain Levels for Software Artifacts) já são oferecidos por provedores como Google Cloud para mitigar riscos.
O que você acha? Sua empresa já revisa a cadeia de dependências open source implantada em produção? Para mais análises sobre cibersegurança e supply chain, acesse nossa editoria especializada.
Crédito da imagem: Divulgação / Axios
