El ataque a npm: ¿qué ocurrió realmente?
El reciente ataque a la librería Axios en npm ha sacudido al ecosistema de desarrollo global. Un grupo de atacantes logró robar el token de acceso de un mantenedor principal de Axios –el cliente HTTP más usado en JavaScript, con más de 100 millones de descargas semanales– y así publicar dos versiones maliciosas que expusieron a miles de proyectos a un remote access trojan (RAT) multiplataforma (Windows, macOS y Linux).
¿Por qué es tan grave?
Axios está presente en aproximadamente el 80% de los entornos cloud y pipelines de CI/CD modernos. El ataque, detectado al poco de subirse el paquete, logró afectar al menos a 135 sistemas antes de la remoción. El exploit no modificó el código fuente de Axios: añadió una dependencia encubierta ([email protected]) que ejecutaba el RAT en la postinstalación. El software dañino borraba sus huellas tras ejecutarse, dificultando la investigación forense.
Cadena de fallos: ¿qué vulnerabilidades permitieron el ataque?
A pesar de tener habilitadas prácticas modernas de seguridad como OIDC Trusted Publishing, SLSA y autenticación multifactor, el verdadero problema fue la persistencia de tokens clásicos (legacy). npm permitía la convivencia de tokens antiguos con métodos modernos de autenticación y, por defecto, seguía favoreciendo el uso del token, abriendo la puerta al atacante que solo necesitó robar esa credencial. Ningún control forzó la revocación del token antiguo incluso tras configurar OIDC.
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidadOtros incidentes recientes
No es un caso aislado. En los últimos siete meses se reportaron al menos tres compromisos de cadena de suministro en npm, todos originados por robo de credenciales de mantenedor. Ejemplos relevantes incluyen el gusano Shai-Hulud y las vulnerabilidades expuestas con PackageGate.
¿Qué hacer ahora? Guía práctica para equipos técnicos
- Verifica tu exposición: Busca en tus lockfiles o CI logs la presencia de
[email protected],[email protected]oplain-crypto-js. Actualiza a[email protected]o[email protected]. - Asume compromiso de base: Si se detectan estas versiones, reconstruye las máquinas afectadas y rota todas las credenciales expuestas (npm, cloud, .env, SSH, CI/CD).
- Bloquea el C2: Añade
sfrclak.comy la IP142.11.206.73a tu firewall y listas DNS. - Detecta artefactos del RAT: Ejemplos:
/Library/Caches/com.apple.act.mond(macOS),%PROGRAMDATA%\wt.exe(Windows),/tmp/ld.py(Linux). - Endurece prácticas futuras: Ejecuta
npm ci --ignore-scriptsen pipelines, exige lockfiles, revisa publicación sin OIDC y elimina tokens legacy.
Consejos para founders y CTOs de startups
La seguridad en la cadena de suministro de software es un reto estructural. Estos incidentes demuestran que, aun con controles modernos, las credenciales de los mantenedores siguen siendo el eslabón débil. Es esencial:
- Revisar y auditar workflows de publicación para eliminar rutas paralelas de autenticación.
- Adoptar rotación automática de tokens y autenticación multi-factor (MFA) obligatoria.
- Incorporar herramientas de escaneo proactivo para detectar malware antes de impactar producción.
- Capacitar equipos sobre ataques de cadena de suministro y crear respuestas rápidas ante incidentes.
Conclusión
El caso de Axios es otra advertencia sobre la importancia de mantener una postura activa y orientada a la prevención en el ecosistema Node.js y npm. En startups tecnológicas, donde velocidad y eficiencia son clave, la gestión estricta de credenciales y la verificación de dependencias son tan prioritarias como el desarrollo o el go-to-market.
Descubre cómo otros founders implementan estas soluciones en comunidad y protege tu startup de riesgos reales.
Fuentes
- https://venturebeat.com/security/axios-npm-supply-chain-attack-rat-maintainer-token-2026 (fuente original)
- https://www.wiz.io/blog/axios-npm-compromised-in-supply-chain-attack (fuente adicional)
- https://www.huntress.com/blog/supply-chain-compromise-axios-npm-package (fuente adicional)
- https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan (fuente adicional)
- https://socket.dev/blog/axios-npm-package-compromised (fuente adicional)
- https://www.endorlabs.com/learn/npm-axios-compromise (fuente adicional)
- https://unit42.paloaltonetworks.com/npm-supply-chain-attack/ (fuente adicional)
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidad
