La chaîne d’approvisionnement logicielle a cédé le 31 mars 2026 sur l’un de ses maillons les plus utilisés : Axios, la bibliothèque JavaScript de référence pour les requêtes HTTP. Le Google Threat Intelligence Group (GTIG) attribue l’attaque à UNC1069, un groupe lié à la Corée du Nord. Or les deux branches visées totalisent plus de 100 millions et 83 millions de téléchargements par semaine.
L’attaque n’a pourtant exploité aucune faille du code. En effet, une campagne d’ingénierie sociale ciblée a suffi à prendre le contrôle du compte d’un développeur.
Axios : trois heures pour compromettre la chaîne d’approvisionnement logicielle
Les attaquants ont d’abord pris la main sur le compte d’un développeur principal du projet, autorisé à publier les mises à jour officielles. Ils ont ensuite remplacé l’adresse de courriel associée par la leur. Enfin, ils ont publié les versions 1.14.1 et 0.30.4 du paquet npm, qui ajoutaient une dépendance malveillante nommée « plain-crypto-js ».
Ces versions ont circulé environ trois heures, de 00 h 21 à 03 h 20 UTC. Toute installation pendant cette fenêtre exécutait automatiquement un script qui déployait la porte dérobée WAVESHAPER.V2. Ainsi, un serveur d’intégration continue qui reconstruit ses dépendances la nuit a pu installer la porte dérobée sans aucun clic humain.
L’opération s’inscrit dans une offensive plus large. Selon la société Socket, la campagne Contagious Interview a diffusé plus de 1 700 paquets malveillants depuis janvier 2025 sur les registres npm, PyPI, Go, Rust et Packagist. Toutefois, dans les paquets les plus récents, le code malveillant ne se déclenche plus à l’installation. Il se cache dans des fonctions d’apparence légitime comme « Logger::trace », hors de portée d’un audit rapide. L’attaque supply chain sur LiteLLM a suivi le même schéma.
Le phishing des développeurs, porte d’entrée des attaquants
Le point d’entrée reste donc humain. Les attaquants contactent leurs cibles sur Telegram, LinkedIn ou Slack en se présentant comme recruteurs ou partenaires commerciaux. Par exemple, ils proposent un entretien d’embauche, puis demandent d’installer un prétendu logiciel de réunion. Ce fichier est un logiciel malveillant.
Entre le 6 février et le 7 avril 2026, l’organisation Security Alliance (SEAL) a bloqué 164 domaines liés à UNC1069 qui imitaient Microsoft Teams ou Zoom. Autrement dit, le faux entretien technique vise précisément les profils qui détiennent des droits de publication sur des projets open source.
Or vos développeurs reçoivent ces messages sur des comptes personnels, souvent hors du périmètre surveillé par la direction informatique. Par conséquent, la sensibilisation générale au phishing par courriel ne suffit pas. Montrez-leur le scénario exact : un recruteur pressant, un test technique à exécuter, un lien de visioconférence qui demande un téléchargement.
Paquets npm malveillants : ce que le RGPD impose à votre organisme
Une bibliothèque compromise expose toutes les données que traite l’application qui l’embarque : identifiants, jetons d’authentification, données clients. C’est pourquoi l’article 32 du RGPD impose des mesures de sécurité adaptées à ce risque, et la gestion des dépendances en fait partie.
Si l’analyse confirme une violation de données personnelles, l’article 33 impose de la notifier à la CNIL dans les 72 heures, sauf si elle ne présente pas de risque pour les personnes. Lorsque le risque est élevé, l’article 34 oblige à les informer. Le délai court à partir du moment où vous avez connaissance de la violation : le compte à rebours de 72 heures ne démarre pas toujours où vous le croyez.
Votre prestataire de développement utilise la bibliothèque piégée ? Il engage alors sa responsabilité. Vous engagez aussi la vôtre, en tant que responsable de traitement : l’article 28 vous impose de choisir un sous-traitant qui présente des garanties suffisantes. Demandez-lui par écrit s’il a installé les versions 1.14.1 ou 0.30.4 d’Axios et quelles mesures il a prises. La directive NIS2, dont la transposition en droit français est en cours, prévoit de plus des délais de signalement plus courts pour les entités essentielles et importantes.
Protéger votre chaîne d’approvisionnement logicielle
D’abord, dressez l’inventaire. Un SBOM (Software Bill of Materials) liste les composants tiers de chaque application et permet de répondre en quelques minutes à la question « sommes-nous touchés ? ». Sans lui, en revanche, la recherche prend des jours.
Ensuite, bloquez les mises à jour automatiques des bibliothèques sensibles et imposez une validation humaine des montées de version. De plus, ajoutez un outil d’analyse des dépendances qui surveille les registres publics. Sur les comptes de publication npm, PyPI ou GitHub, exigez l’authentification multifacteur, de préférence par clé matérielle.
Enfin, documentez vos arbitrages dans le registre des traitements et, si l’application traite des données sensibles, dans l’analyse d’impact. Pour la sensibilisation des équipes au phishing, Focus RGPD, la plateforme de DPO FRANCE, propose 400 vidéos. Choisissez celles qui montrent le faux recrutement plutôt que le courriel générique.
Sources
Le déroulé de l’attaque contre Axios provient du Google Threat Intelligence Group : North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package in Supply Chain Attack.
Les chiffres de la campagne Contagious Interview et le blocage des domaines par SEAL figurent dans l’article de The Hacker News N. Korean Hackers Spread 1,700 Malicious Packages Across npm, PyPI, Go, Rust.
Next décrit l’état de la transposition de NIS2 en France dans NIS 2 : l’ANSSI publie son ReCyf, la CSNP s’impatiente et le fait savoir.
Questions fréquentes
Qu’est-ce qu’une attaque de la chaîne d’approvisionnement logicielle ?
Une attaque de la chaîne d’approvisionnement logicielle piège un composant tiers, comme une bibliothèque open source, pour atteindre toutes les applications qui l’utilisent. Dans le cas d’Axios, les attaquants ont publié de fausses versions officielles depuis le compte volé d’un développeur.
Quelles versions d’Axios étaient compromises ?
Les attaquants ont piégé les versions 1.14.1 et 0.30.4 du paquet npm Axios. Elles ont circulé environ trois heures le 31 mars 2026 et installaient la porte dérobée WAVESHAPER.V2.
Comment les hackers nord-coréens piègent-ils les développeurs ?
Ils se présentent comme recruteurs ou partenaires sur LinkedIn, Telegram ou Slack et proposent un faux entretien. Ils invitent ensuite la victime à installer un prétendu logiciel de réunion qui contient un logiciel malveillant.
Faut-il notifier la CNIL si une bibliothèque compromise a été installée ?
Oui, si l’installation a entraîné une violation de données personnelles présentant un risque pour les personnes, vous devez notifier la CNIL dans les 72 heures. Analysez d’abord quelles données l’application traitait et si elles ont pu être lues ou exfiltrées.
Qu’est-ce qu’un SBOM ?
Un SBOM, ou Software Bill of Materials, est l’inventaire des composants logiciels tiers d’une application. Il permet de savoir rapidement si une bibliothèque compromise est présente dans vos systèmes.
