Hacker nordcoreani nel cuore dell’open source: l’attacco ai manutentori di Node.js
Introduzione
Il software open source è alla base di gran parte delle applicazioni digitali che usiamo ogni giorno, spesso senza saperlo. Quando qualcuno riesce a compromettere chi lo sviluppa e lo mantiene, le conseguenze possono propagarsi silenziosamente a milioni di utenti. È quello che è accaduto tra marzo e aprile 2026, quando un gruppo di hacker collegato alla Corea del Nord ha preso di mira alcuni dei nomi più noti dell’ecosistema Node.js e npm.
Cosa è successo
Il gruppo, identificato dai ricercatori con il nome UNC1069 e ritenuto collegato alla Corea del Nord, ha condotto una serie di attacchi di ingegneria sociale contro sviluppatori di alto profilo. L’ingegneria sociale è una tecnica che non sfrutta vulnerabilità tecniche, ma inganna le persone: in questo caso, gli attaccanti si sono presentati usando identità false, video generati con intelligenza artificiale e spazi di lavoro Slack contraffatti per sembrare interlocutori legittimi.
Tra i bersagli figurano alcuni dei manutentori più conosciuti dell’ecosistema JavaScript: Jason Saayman, che gestisce la libreria Axios, Jordan Harband, John-David Dalton (noto per Lodash), Matteo Collina (autore di Fastify, Pino e Undici), Scott Motte (creatore di dotenv) e ingegneri dell’azienda di sicurezza Socket, tra cui Feross Aboukhadijeh. Una delle tecniche usate prevedeva la creazione di un’identità falsa, associata a una presunta azienda chiamata Openfort, per guadagnarsi la fiducia delle vittime.
Nel caso di Jason Saayman e della libreria Axios, l’attacco ha avuto conseguenze concrete: il pacchetto è stato compromesso con l’inserimento di codice malevolo, in quello che viene definito un attacco alla catena di fornitura del software. In altri casi, gli attaccanti cercavano di indurre le vittime a installare programmi in grado di rubare informazioni o a eseguire comandi dannosi sui propri computer.
Perché è importante
Axios, Lodash, dotenv e le altre librerie coinvolte sono strumenti usati da decine o centinaia di milioni di progetti software in tutto il mondo. Se un pacchetto viene modificato con codice nascosto, quel codice può raggiungere automaticamente chiunque aggiorni le proprie dipendenze, aziende, sviluppatori e, indirettamente, utenti finali. Questa campagna rappresenta un’evoluzione della strategia nordcoreana, che secondo gli analisti si sta spostando sempre più verso i manutentori open source come punto di accesso privilegiato.
Cosa possono fare aziende e utenti
Per chi lavora nello sviluppo software, è importante verificare sempre l’identità di chi contatta attraverso canali digitali, soprattutto se vengono richieste azioni come installare software o eseguire comandi. Le organizzazioni dovrebbero adottare strumenti di analisi delle dipendenze software per rilevare modifiche anomale nei pacchetti utilizzati. Chi usa applicazioni sviluppate da terzi, al momento, non ha strumenti diretti di verifica: può però scegliere prodotti da fornitori che dichiarano pratiche di sicurezza della catena di approvvigionamento.
Takeaway finali
- Gli attacchi alla catena di fornitura del software colpiscono in modo invisibile, propagandosi attraverso aggiornamenti apparentemente normali.
- L’ingegneria sociale rimane una delle minacce più efficaci: identità false, video artificiali e piattaforme contraffatte sono strumenti sempre più sofisticati.
- La sicurezza dell’open source dipende anche dalla protezione delle persone che lo sviluppano, non solo del codice.
Fonti
https://www.securityweek.com/north-korean-hackers-target-high-profile-node-js-maintainers/
https://socket.dev/blog/attackers-hunting-high-impact-nodejs-maintainers
https://www.nextgov.com/cybersecurity/2026/03/north-korea-linked-hackers-suspected-axios-open-source-hijack-google-analysts-say/412523/
https://thehackernews.com/2026/04/unc1069-social-engineering-of-axios.html
Fonte: SecurityWeek