Netcrook
#Supply chain
Fiducia rubata: come un token OAuth di terze parti ha reso accessibili i dati CRM
Una violazione riportata che coinvolge un ambiente connesso a Salesforce mostra come una singola credenziale di integrazione compromessa possa trasformare la fiducia nel SaaS in un problema di accesso ai dati.
Quando una fuga di dati da un fornitore diventa un problema per l'OEM
Un presunto incidente di data-extortion presso Tata Electronics mostra come un partner di produzione possa diventare un punto di pressione per più marchi, anche prima che la causa tecnica principale sia pienamente nota.
Quando i file dei fornitori diventano leva: il costo nascosto di un'estorsione su un sito di leak
Un incidente segnalato presso Tata Electronics mostra come un fornitore manifatturiero possa diventare un punto di pressione per più marchi quando i file rubati vengono trasformati in pedine di scambio pubbliche.
Pacchetti npm simili trasformano una ricerca CSS in una trappola per la supply chain
Un piccolo gruppo di pacchetti npm a tema PostCSS mostra come la confusione dei nomi e la fiducia al momento dell'installazione possano trasformare il normale lavoro sulle dipendenze in un rischio di malware per Windows.
Quando la fiducia nel software smette di dipendere da una chiave nascosta
Sigstore indica un modello di fiducia più recente per le release software: firma legata all'identità, un registro pubblico a prova di manomissione e una minore dipendenza da un segreto di lunga durata.
Il cambiamento silenzioso del cyber: perché l’IA accelera l’attacco, ma non la riparazione
Il vero rischio del 2026 non è una nuova arma magica, ma il divario crescente tra un’offensiva più rapida, una governance più lenta e le organizzazioni che riescono a riprendersi per prime.
Nomi fidati, codice non fidato: il trucco del registro dietro una falla nella supply chain dei plugin
Un fallimento nel controllo dell'ambito in un catalogo di plugin mostra come uno spazio dei nomi familiare possa far sembrare codice di terze parti una integrazione ufficiale.
Microsoft rilascia i plug-in GDK per Unreal Engine 5.8 per semplificare lo sviluppo di giochi Xbox PC
Microsoft ha rilasciato i plug-in GDK per Unreal Engine 5.8 per semplificare lo sviluppo di giochi Xbox PC.
3 milioni di licenze, un unico fornitore e un ampio tracciato di identità in Texas
Una violazione segnalata legata al Texas Parks and Wildlife mostra come un appaltatore nella catena di fiducia possa trasformare un normale sistema di licenze in un evento di privacy di alto valore.
Un nome npm quasi identico, poi una catena di script Windows: la trappola della supply chain dietro il rilascio di un RAT
Un pacchetto typosquatted nell'ecosistema npm mostra come un singolo nome fuorviante possa offrire agli aggressori un percorso dall'installazione di una dipendenza all'esecuzione nativa su Windows.
La trappola dello spazio dei nomi all'interno dei registri dei plugin AI
Ventitré plugin che eseguono codice usavano nomi dall'aspetto ufficiale in un registro in cui un'etichetta può influenzare la fiducia tanto quanto una firma.
Il messaggio spaziale di Berlino arriva nell'era digitale
La spinta della Germania per un ruolo più importante nel settore spaziale europeo è una dichiarazione geopolitica, ma indica anche il modello di fiducia fortemente basato sul software alla base delle missioni moderne.
Il percorso npm di Mastra trasforma un aggiornamento di pacchetto in un rischio per estensioni crypto
Una dipendenza malevola trovata in oltre 140 pacchetti Mastra mostra come un incidente della supply chain software possa spostarsi dagli strumenti di build alle superfici di criptovaluta rivolte al browser.
Un pacchetto npm simile ha trasformato un nome CSS fidato in un canale per malware Windows
Un nome di pacchetto ingannevole nell'orbita di PostCSS mostra come la fiducia nell'open source possa essere abusata prima ancora che il codice raggiunga la produzione.
Quando un plugin diventa il payload: GlassWorm e il problema della fiducia degli sviluppatori
Una campagna malware basata su estensioni, segnalata, mette gli ecosistemi di VS Code sotto una luce impietosa: il vero bersaglio non è solo il software, ma la catena di fiducia che lo distribuisce.
Un'identità npm dirottata può avvelenare un'intera catena di dipendenze
Un takeover dell'account di un maintainer legato a pacchetti Mastra compromessi mostra come i registry di pacchetti possano diventare sistemi di distribuzione di malware quando la fiducia nel pubblicatore viene infranta.
Quando i fornitori diventano la superficie d'attacco: la nuova realtà cyber europea
I fornitori critici non sono più un problema da retrobottega: NIS2 e DORA stanno portando il rischio della supply chain nei consigli di amministrazione, dove continuità e responsabilità ora si sovrappongono.
Quando un pacchetto affidabile diventa tossico: l'intrusione npm di Mastra
Un percorso di manutenzione dirottato, un pacchetto typosquat e due payload molto diversi mostrano come l'abuso della supply chain possa andare ben oltre un singolo namespace.
Il cloud si rompe per primo nel progetto
La sicurezza IaC sposta le difese a monte, perché in molti ambienti cloud l'errore più costoso non è una configurazione errata in produzione, ma il codice che la crea.
Quando l'IDE diventa il livello di infiltrazione
GlassWorm rende più tagliente un rischio ben noto: gli strumenti per sviluppatori possono diventare punti di consegna fidati per codice furtivo, testo nascosto e canali di comando difficili da bloccare.