Microsoft ha rivelato che pacchetti npm compromessi legati al progetto @antv stanno venendo utilizzati per rubare credenziali di pipeline CI/CD. Il malware, chiamato Mini Shai‑Hulud, si attiva durante npm install e accede a segreti su GitHub, AWS, Kubernetes, HashiCorp Vault, npm e 1Password. Per le piccole e medie imprese e i provider di servizi gestiti, questo tipo di attacco mette a rischio dati di lavoro sensibili e solleva questioni di conformità con il GDPR, soprattutto per la protezione dei dati personali dei dipendenti e dei clienti.
La best practice consigliata è implementare controlli di integrità dei pacchetti, firmare i repository e monitorare le attività anomale nelle pipeline di build. Inoltre, è fondamentale adottare una politica di zero trust per la gestione degli accessi e garantire una adeguata patch e backup delle credenziali.
Per le PMI, la violazione di dati aziendali può comportare sanzioni amministrative e danni reputazionali, per questo è cruciale integrare queste indicazioni nei processi di sicurezza quotidiani.
