“Los ataques recientes muestran que los piratas informáticos siguen usando los mismos trucos para escabullir el código malo en los registros de software populares”, escribe disertador de slashdot desde hace mucho tiempo geek de Selinuxsugiriendo que “el seguro problema es cómo se construyen estos registros, lo que hace que estos ataques probablemente sigan sucediendo”. Posteriormente de todo, NPM no fue la única biblioteca de software golpeada por un ataque de la prisión de suministro, argumenta el Seguridad de Linux blog. “Pypi y Docker Hub enfrentaron sus propios compromisos en 2025, y las superposiciones son imposibles de ignorar”.
El phishing siempre ha sido la fruta descenso. En 2025, no fue solo efectivo una vez: fue el punto de entrada para múltiples infracciones de registro, todas las que ocurrieron juntas en diferentes ecosistemas … El seguro problema no es ese phishing. Es que no hubo suficientes salvaguardas para mitigar el impacto. Una contraseña robada no debería ser todo lo que se necesita para envenenar un ecosistema completo. Sin retención, en 2025, así es exactamente como se desarrolló …

Incluso si cada mantenedor vio cada señuelo, los registros dejaron brechas por los que los atacantes podrían atravesar sin mucho esfuerzo. El problema no fue ingeniería social esta vez. Así fue la poca demostración entre un atacante y el pimpollo “Anunciar”. La autenticación débil y la procedencia faltante fueron los facilitadores silenciosos en 2025 … a veces el registro en sí mismo ofrece el camino. Cuando la error está en el nivel de registro, los administradores no reciben una alerta, una entrada de registro o cualquier pista de que poco salió mal. Eso es lo que lo hace tan peligroso. El compromiso parece ser una puesta al día corriente hasta que alcanza el sistema aguas debajo … cambia el peligro del error humano al diseño sistémico.

Y una vez que entra ese código débilmente autenticado, no siempre desaparece rápidamente, lo que conduce directamente al problema de la persistencia … Una vez que se publica un artefacto, se extiende en espejos, cachés y construcciones de derivados. Eliminar la carga llamativo no poso todas las copias … desde nuestra perspectiva en LinuxSecurity, no se proxenetismo de una fregado lenta; Se proxenetismo de bloque. Los registros no tienen un cambio de homicidio mundialmente confiable una vez que la confianza se rompe. Incluso a posteriori de la procedencia, las imágenes cojín envenenadas se replican a través de espejos, cachés y construcciones de derivados, lo que significa que los desarrolladores pueden seguir tirando mucho a posteriori de que el registro en sí sea “expedito”.
El artículo condujo que “para nosotros en Linuxsecurity, la vulnerabilidad existente no es phishing correos electrónicos o tokens robados: es la forma en que se construyen los registros. Distribuyen el código sin integrar garantías de seguridad. Ese diseño garantiza que los ataques de la prisión de suministro no serán anomalías raras, sino eventos recurrentes”. BR>.
Entonces, en un mundo donde “la única suposición segura es que el código que consume ya puede estar comprometido”, argumentan, los desarrolladores deben despabilarse controles que puedan aplicarse a sí mismos:

• Verifique los artefactos con firmas o herramientas de procedencia.
• Dependencias de PIN a versiones específicas y confiables.
• Genere y rastree SBOMS para que sepa exactamente qué hay en su pila.
• Escanee continuamente, no solo en el punto de instalación.