Il 29 maggio 2026 Microsoft Security Blog ha pubblicato un rapporto dettagliato su un nuovo attacco di tipo typosquatting che ha sfruttato pacchetti npm malintenzionati per rubare credenziali di cloud e pipeline CI/CD. L’attacco, chiamato Mini Shai-Hulud, ha colpito ambienti di sviluppo in cui i pacchetti npm sono usati per automatizzare build, test e distribuzione.
Il metodo è semplice ma efficace: i cybercriminali pubblicano pacchetti con nomi simili a quelli di librerie popolari, sfruttando errori di battitura degli sviluppatori. Una volta installati, questi pacchetti eseguono codice malevolo che estrae token di accesso a servizi cloud (es. AWS, Azure, GCP) e credenziali di CI/CD (es. GitHub Actions, GitLab CI). Le informazioni rubate vengono poi inviate a server di comando e controllo, consentendo agli aggressori di accedere a infrastrutture sensibili.
Secondo il rapporto, l’attacco ha avuto successo in più di 200 progetti open source e privati, con un impatto che ha compromesso più di 1.200 account di sviluppatori. Le chiavi di accesso rubate sono state usate per eseguire operazioni di provisioning, deploy e persino per esfiltrare dati sensibili.
Per mitigare questo rischio, Microsoft consiglia:
- Verificare l’autenticità dei pacchetti npm prima dell’installazione, controllando l’autore e la firma digitale.
- Utilizzare package-lock.json e npm audit per bloccare versioni non autorizzate.
- Implementare policy di sicurezza in CI/CD che limitino l’uso di pacchetti non approvati.
- Monitorare l’uso di token di accesso e revocare quelli non più necessari.
Questo caso evidenzia come la sicurezza delle automazioni di sviluppo debba essere considerata una priorità per PMI e MSP, dove la gestione di credenziali e pipeline è spesso centralizzata e condivisa tra più team.
