“Em vez de trabalhar para comprometer uma empresa e, incerta do retorno, os atores de ameaças podem comprometer um desenvolvedor e acabar com seus malware em centenas, ou mesmo milhares de outras empresas”, disse Gannon.
“Mesmo que demore dez vezes mais para comprometer um desenvolvedor, a recompensa pode ter mais de dez vezes o que poderia ter sido feito comprometendo dez outras empresas no mesmo período”, ressaltou.
O que fazer
Na visão de Hyslip, além de exigir autenticação multifatorial (MFA) para contas de mantenedores, os desenvolvedores devem bloquear as dependências usando pacote lock.json Para impedir que as atualizações maliciosas sejam aplicadas em toda a árvore de dependência, sem que o desenvolvedor estivesse ciente. Também é uma boa idéia usar ferramentas para rastrear versões instaladas, relacionando -as com vulnerabilidades de segurança conhecidas, disse ele.
