Alerte attaque supply chain logicielle : des paquets privés divulgués via une timing attack sur npm selon les analystes sécurité Aqua Nautilus

En créant une liste de noms de packages possibles, ils ont la capacité de détecter les packages privés des organisations, puis de masquer les packages publics, incitant les collaborateurs et les utilisateurs à les télécharger. Ce type d’attaque est lié à une catégorie plus large d’attaques ciblant la chaîne d’approvisionnement. Au cours des dernières années, Aqua Nautilus a constaté une augmentation du volume et de la variété de ces attaques.