Donc mardi, il y a eu (*encore*), une attaque majeure sur l’écosystème javascript (via axios, une des dépendances les plus utilisées).
Le postmortem vient d’être publié, c’est absolument hallucinant ; en gros, les attaquants ont ciblé le mainteneur via deepfake (slack fictif mais complet de la companie, etc.), ont organisé une visio Teams. Au moment de la visio, il a eu une alerte comme quoi il lui manquait un composant, il l’a installé, et hop.
https://github.com/axios/axios/issues/10636#issuecomment-4180237789