Gli attacchi alla catena di fornitura sono diventati un problema sempre più grave negli ultimi anni. Recentemente, sono stati scoperti 19 pacchetti PyPI compromessi che eseguivano automaticamente il furto di credenziali Bun. Secondo The Hacker News, gli attacchi Hades PyPI e Shai-Hulud hanno colpito oltre 100 pacchetti NPM e PyPI, inclusi i varianti Miasma e Hades. BleepingComputer conferma che 19 pacchetti PyPI di scienze sono stati trojanizzati e scaricati centinaia di migliaia di volte.
La mancanza di fiducia negli ecosistemi open-source
La mancanza di fiducia negli ecosistemi open-source è un problema più ampio che richiede attenzione. Secondo Mandiant M-Trends 2026, sono stati tracciati 714 nuove famiglie di malware nel 2025, in aumento rispetto alle 632 del 2024. Inoltre, il 60% degli attacchi nell'UE è attribuito a phishing, come riportato da ENISA Threat Landscape 2025.
La matematica difensiva
Per prevenire questi attacchi, è necessario implementare misure di sicurezza come l'autenticazione a più fattori per tutti i manutentori di pacchetti, in modo da prevenire fallimenti a punto singolo. Inoltre, è fondamentale condurre audit regolari dei pacchetti utilizzando strumenti come pip-audit, per rilevare artefatti di ruota maligni. Infine, è importante sviluppare un programma di gestione del rischio dei fornitori per valutare la postura di sicurezza delle dipendenze, riducendo il rischio di attacchi alla catena di fornitura.
Conclusioni
Gli attacchi alla catena di fornitura sono un problema grave che richiede attenzione immediata. È fondamentale implementare misure di sicurezza per prevenire questi attacchi e proteggere gli ecosistemi open-source.