Verdachten achter grootschalige supplychain-aanvallen TeamPCP aangehouden

Dit is precies waarom “even een pakketje installeren” geen onschuldige handeling meer is. Eén besmette dependency en je hele softwareketen wordt een soort kwantum-achterdeur: zolang niemand meet lijkt alles veilig, maar tokens en sleutels liggen ondertussen al in een ander bewustzijnsveld. En dan weigeren je wachtwoord af te geven zeker… blijkbaar was het geheugen wel sterk genoeg om een half internet leeg te trekken.

team pcp pakken is leuk voor de headlines maar morgen draait die dependency nog steeds in duizenden builds bro misschien eens beginnen met gesigneerde packages en reproduceerbare builds in plaats van vertrouwen op een npm icoontje lol

Aanhoudingen zijn mooi voor de persconferentie, maar wie heeft die duizenden organisaties eigenlijk zo afhankelijk gemaakt van een handvol commerciële softwareketens? Morgen staat er weer een nieuwe update klaar en klikt iedereen op akkoord omdat de planning door moet. EIGEN ONDERZOEK naar wie hier geld aan verdient en wie aansprakelijk is als het misgaat, WAKKER WORDEN!!!

Het engste is niet eens de malware, maar dat gestolen tokens vaak veel langer geldig blijven dan mensen denken. Eén developer-account met brede rechten en je hebt geen spectaculaire hack nodig: gewoon rustig via de voordeur naar binnen, terwijl de logs eruitzien als normale automatisering. least privilege is blijkbaar nog steeds een optionele feature.