OpenAI повідомила про витік частини внутрішніх даних після атаки на open source-бібліотеку TanStack. Компанія заявила, що зловмисники скомпрометували пристрої двох співробітників, але не отримали доступу до даних користувачів, робочих систем або інтелектуальної власності.
Інцидент стався після атаки на TanStack — популярну бібліотеку для розробки вебзастосунків. 12 травня команда TanStack опублікувала звіт, у якому повідомила, що хакери завантажили 84 шкідливі версії бібліотеки протягом шести хвилин. Дослідник безпеки виявив атаку менш ніж за 20 хвилин після публікації заражених оновлень.
Шкідливе ПЗ у цих версіях бібліотеки мало викрадати облікові дані з комп’ютерів розробників і поширюватися на інші системи.
У OpenAI заявили, що після атаки виявили несанкціонований доступ до обмеженої частини внутрішніх репозиторіїв вихідного коду, до яких мали доступ постраждалі співробітники. За словами компанії, зловмисники отримали лише обмежений набір облікових даних.
Компанія підкреслила, що не знайшла ознак компрометації вже встановленого ПЗ або ризиків для чинних інсталяцій.
TechCrunch зазначає, що відповідальність за атаку поки ніхто не взяв. Раніше подібні атаки на ланцюги постачання ПЗ пов’язували з хакерським угрупованням TeamPCP. Водночас схожі методи використовували й інші групи.
У березні північнокорейські хакери атакували open source-проєкт Axios і поширили шкідливе ПЗ, яке могло зачепити мільйони розробників. А у травні китайських хакерів звинуватили в атаці на користувачів Daemon Tools у Windows.
Такі атаки стають дедалі небезпечнішими для технологічних компаній, оскільки зловмисники компрометують не окремий бізнес, а популярні open source-проєкти. Це дозволяє поширювати шкідливі оновлення одразу на десятки або сотні компаній через звичайний процес оновлення програмного забезпечення.
Джерело: TechCrunch
