L’attaque supply chain Axios du 31 mars 2026 a touché l’une des bibliothèques JavaScript les plus utilisées au monde. Axios cumule plusieurs dizaines de millions de téléchargements hebdomadaires sur npm : plus de 70 millions selon Microsoft, plus de 100 millions selon Google. Deux versions piégées, la 1.14.1 et la 0.30.4, ont circulé sur le registre après la prise de contrôle du compte d’un mainteneur.
Comment l’attaque supply chain Axios a infecté les postes
Le mainteneur visé disposait des droits de publication. Les attaquants ont donc pu publier des versions qui ajoutaient une fausse dépendance nommée « plain-crypto-js ». Cette dépendance s’exécutait alors dès l’installation, sans aucune action de l’utilisateur.
Une fois lancé, le code malveillant contactait un serveur de commande et de contrôle. Il téléchargeait ensuite un cheval de Troie d’accès à distance (RAT) adapté au système de la victime : Windows, macOS ou Linux. Selon Elastic Security Labs, les trois variantes partageaient le même protocole et les mêmes commandes. Elles permettaient ainsi d’exécuter des scripts et des charges supplémentaires sur les machines infectées.
Le mécanisme de mise à jour a fait le reste. En effet, les projets configurés pour accepter automatiquement les nouvelles versions mineures ont pu installer les versions compromises sans la moindre alerte.
| Branche | Version compromise | Dernière version saine |
|---|---|---|
| 1.x | 1.14.1 | 1.14.0 |
| 0.x | 0.30.4 | 0.30.3 |
Un groupe lié à la Corée du Nord, un impact mondial
Microsoft Threat Intelligence attribue la compromission à Sapphire Sleet, un acteur étatique lié à la Corée du Nord. De son côté, le Google Threat Intelligence Group l’attribue à UNC1069, un groupe nord-coréen actif depuis au moins 2018 et motivé par l’argent. Selon Microsoft, l’activité de ces deux groupes se recoupe.
L’Unité 42 de Palo Alto Networks fait état d’un impact étendu, observé dans des secteurs très différents. Les victimes se trouvent aux États-Unis, en Europe, au Moyen-Orient, en Asie du Sud et en Australie.
Compromission d’Axios : quand la dépendance devient une violation de données
Un composant compromis expose en pratique toutes les données que traite l’application qui l’embarque. Or l’article 32 du RGPD exige des mesures de sécurité adaptées au risque. La vérification de l’intégrité des composants logiciels en fait donc partie.
Dans cette affaire, le RAT a pu agir en silence sur les postes de développement et les serveurs d’intégration continue concernés. Par conséquent, mesurer le périmètre des données exposées prend du temps. Si une compromission est avérée, notifiez la CNIL dans les 72 heures au titre de l’article 33. Prévenez aussi les personnes concernées si le risque est élevé, comme le prévoit l’article 34. Notre article sur le point de départ du délai de 72 heures vous aide à dater la prise de connaissance.
Pour les entités soumises à la directive NIS2, la sécurité de la chaîne d’approvisionnement figure dans les mesures attendues. Elles évaluent ainsi les risques liés à leurs fournisseurs, bibliothèques open source comprises. L’incident Axios montre pourquoi : une seule dépendance compromise atteint des milliers d’organisations en même temps. Notre analyse sur la sécurité des tiers à qui vous confiez vos données prolonge ce raisonnement.
Sécuriser votre chaîne d’approvisionnement logicielle après Axios
D’abord, vérifiez les versions d’Axios déployées dans vos projets. Si la 1.14.1 ou la 0.30.4 apparaît, revenez à une version saine. Changez ensuite tous les secrets et identifiants présents sur les machines concernées : jetons d’accès, clés d’API, mots de passe.
Verrouillez aussi les versions de vos dépendances avec des fichiers de verrouillage (lockfiles). Évitez par exemple les plages ouvertes comme « ^1.14.0 », qui autorisent les mises à jour automatiques. De plus, déployez un outil d’analyse de composition logicielle, comme Snyk ou Dependabot, pour surveiller vos dépendances en continu.
Enfin, tenez un inventaire de vos composants tiers, appelé SBOM (Software Bill of Materials). Ainsi, lors du prochain incident de ce type, vous saurez en quelques minutes si vos applications sont touchées. Consignez l’analyse dans votre registre des violations, même si vous concluez à l’absence de fuite : DPO Suite, l’application de conformité que nous avons conçue, intègre ce registre.
Sources
Les versions touchées, la fausse dépendance, l’attribution à Sapphire Sleet et le chiffre de 70 millions de téléchargements hebdomadaires viennent du blog de sécurité de Microsoft : Mitigating the Axios npm supply chain compromise.
L’attribution à UNC1069 provient de Google : North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package in Supply Chain Attack.
Elastic Security Labs publie l’analyse technique du cheval de Troie dans Inside the Axios supply chain compromise – one RAT to rule them all.
Enfin, Unit 42 documente l’étendue géographique de l’impact : Threat Brief: Widespread Impact of the Axios Supply Chain Attack.
