Amazon ha confermato che una parte delle recenti compromissioni della supply chain software che hanno colpito l’ecosistema NPM rientra in una campagna più ampia attribuita a operatori collegati alla Corea del Nord. La valutazione rafforza un quadro che negli ultimi mesi era già emerso anche in Italia, dove diversi osservatori avevano segnalato la combinazione fra social engineering, furto di token di pubblicazione e distribuzione di pacchetti malevoli tramite dipendenze molto diffuse.

Secondo le analisi pubblicate da AWS Security, gli attaccanti hanno puntato sia ai maintainer sia ai consumatori delle librerie open source. In alcuni casi l’obiettivo è stato compromettere account legittimi e rilasciare aggiornamenti infetti; in altri, pubblicare pacchetti apparentemente credibili per sottrarre credenziali cloud, token NPM e segreti di pipeline CI/CD. L’effetto è particolarmente critico quando il bersaglio è una dipendenza con milioni di download settimanali, perché il vettore si propaga rapidamente lungo la catena di sviluppo.

Una minaccia che supera il singolo incidente

La conferma di Amazon si inserisce in una sequenza di episodi che ha coinvolto pacchetti noti come Axios, Chalk, Debug e altri componenti dell’ecosistema JavaScript. Il tratto comune non è soltanto il malware distribuito via repository, ma il fatto che gli aggressori stanno sfruttando in modo sistematico la fiducia implicita nelle dipendenze software e nelle automazioni di pubblicazione.

Per le organizzazioni, il punto centrale non è solo bloccare il pacchetto compromesso del momento, ma ridurre l’esposizione strutturale: inventario completo delle dipendenze, controlli di integrità, privilegi minimi per i maintainer, monitoraggio dei token di pubblicazione e verifiche continue lungo la pipeline di build. La vicenda conferma che la supply chain open source resta una delle superfici d’attacco più sensibili per imprese, cloud workload e ambienti di sviluppo.