Десятки популярных open‑source пакетов скомпрометированы в supply‑chain атаке

Коллеги, хочу обратить внимание: в сфере кибербезопасности зафиксирована компрометация популярных open‑source пакетов.

Коротко:
— StepSecurity и SafeDep зафиксировали новую волну supply‑chain атак.
— SafeDep: захвачен аккаунт разработчика — выпущено >630 вредоносных версий в 317 пакетах за ~20 минут.
— Цель — кража учётных данных, в том числе из менеджеров паролей; среди затронутых — Antv (Alibaba). JFrog указывает на публикации на GitHub.
— Это часть кампании «Mini Shai‑Hulud»: ранее атаковали через TanStack, пострадали сотрудники OpenAI.

Почему важно: атаки подрывают доверие к зависимостям и требуют усиления защиты цепочки поставок.

Какие шаги по защите цепочки поставок Вы считаете приоритетными?

#кибербезопасность #supplychain #opensource #infosec