Secondo quanto riportato da Reuters, un gruppo di hacker legato alla Corea del Nord ha compromesso Axios, una libreria open source molto utilizzata per gestire le comunicazioni tra applicazioni web e servizi online, inserendo un codice malevolo all’interno di un aggiornamento distribuito agli utenti.
L’operazione, individuata da Google e da ricercatori indipendenti, rientra nella categoria degli attacchi alla supply chain software e avrebbe potuto consentire il furto di dati e credenziali di accesso dai sistemi su cui la libreria era installata, aprendo la strada a ulteriori intrusioni.
La particolarità dell’attacco risiede nella sua natura invisibile: non richiede, infatti, alcuna azione da parte dell’utente, ma sfrutta la fiducia riposta in un software largamente diffuso e utilizzato “dietro le quinte” da milioni di applicazioni.
Secondo le analisi, il malware era progettato per funzionare su diversi sistemi operativi, inclusi Windows, macOS e Linux, e avrebbe potuto raggiungere un numero estremamente elevato di ambienti digitali, anche se non è stato chiarito quante installazioni siano state effettivamente compromesse.
Indice degli argomenti
Un attacco che non si vede: cosa è successo davvero
Per comprendere meglio il contesto dell’attacco: Axios è un componente software utilizzato da sviluppatori e piattaforme per gestire le comunicazioni tra applicazioni e server, non un servizio visibile all’utente finale.
In altre parole, si tratta di una di quelle tecnologie che operano in modo silenzioso e invisibile, ma senza le quali gran parte dei servizi digitali non funzionerebbe correttamente.
È presente in applicazioni web, app mobili, servizi finanziari e piattaforme di e-commerce e proprio questa ubiquità lo rende un punto di osservazione privilegiato, ma anche un possibile punto di ingresso per operazioni malevole.
Gli attaccanti sono riusciti stavolta a compromettere un aggiornamento del software, inserendo il codice dannoso all’interno di una versione distribuita agli utenti. Il codice, una volta installato, avrebbe potuto consentire l’accesso a dati sensibili, incluse credenziali di autenticazione, aprendo la strada a ulteriori attacchi.
Un meccanismo semplice e, per questo, ancora più insidioso: il software, considerato affidabile, diventa esso stesso veicolo di compromissione.
L’ attacco, non diretto a un’organizzazione specifica, è stato in grado di sfruttare un punto intermedio della filiera tecnologica, trasformando un elemento di fiducia in una vulnerabilità sistemica.
Perché questo caso è diverso dagli attacchi tradizionali
La cyber security è spesso raccontata (e a ragione) attraverso la narrativa ricorrente dell’utente come anello debole della catena. Secondo questa consolidata impostazione, la maggior parte degli attacchi, si basa su errori umani, disattenzioni, clic su link malevoli o apertura di allegati compromessi. La difesa passa quindi, soprattutto, attraverso l’adeguata formazione e consapevolezza.
L’attacco ad Axios rappresenta però una novità a questo assunto, poiché stavolta non è stato necessario alcun errore umano. Non c’è phishing, né social engineering, né interazione da parte dell’utente: il sistema viene compromesso attraverso un aggiornamento software legittimo, installato proprio perché ritenuto sicuro.
Ciò significa che la vulnerabilità è al di fuori del comportamento dell’utente, poiché risiede nella struttura stessa dell’ecosistema digitale. La cosa maggiormente inquietante è il fatto che la fiducia, elemento indispensabile per il funzionamento delle tecnologie moderne, diventa un vettore di attacco: è il software che si è sempre utilizzato senza alcun sospetto a trasformarsi in un rischio.
La sicurezza non può più quindi essere affrontata esclusivamente in termini di prevenzione degli errori umani e diventa necessario intervenire sulla qualità, sull’integrità e sulla tracciabilità della filiera software, dove le vulnerabilità possono propagarsi senza essere immediatamente visibili.
Axios e l’infrastruttura invisibile del web
L’evento che ha riguardato Axios mette in luce un aspetto spesso ignorato nel dibattito pubblico e, cioè, che internet, oltre che da piattaforme visibili e servizi digitali riconoscibili, è composto anche da una rete complessa di componenti software riutilizzabili, che costituiscono la vera infrastruttura logica del sistema.
Librerie come Axios sono integrate in milioni di progetti e funzionano come elementi standardizzati che permettono agli sviluppatori di costruire applicazioni in modo più rapido ed efficiente. Una logica di riuso, alla base della scalabilità del digitale, che introduce però anche un elemento di dipendenza diffusa; quando una di queste componenti viene compromessa, l’effetto si estende potenzialmente a tutti i sistemi che la utilizzano.
Si tratta di una forma di infrastruttura invisibile, che non è fatta di hardware o di reti fisiche, bensì di codice condiviso. Proprio perché invisibile, essa tende a sfuggire ai modelli tradizionali di controllo e regolazione; le organizzazioni spesso non hanno piena consapevolezza delle librerie integrate nei propri sistemi, né delle loro vulnerabilità.
Attaccare questo livello significa operare in profondità, intervenendo su ciò che rende possibile il funzionamento dei servizi digitali, piuttosto che sui servizi stessi, e ciò amplia in modo significativo la superficie d’attacco.
Supply chain software: la nuova superficie d’attacco
Gli attacchi alla supply chain rappresentano una delle evoluzioni più significative del panorama cyber contemporaneo: invece di colpire direttamente il bersaglio finale, l’attaccante interviene su un elemento intermedio della catena, sfruttando la fiducia che lega i diversi attori coinvolti.
Nel caso del software, questa catena è particolarmente complessa e articolata, poiché ogni applicazione è costruita su una molteplicità di componenti, librerie e dipendenze, spesso provenienti da fonti diverse e aggiornate automaticamente. Da questo deriva un ecosistema interconnesso in cui la sicurezza di un singolo elemento può influenzare quella di molti altri.
L’attacco ad Axios dimostra come un punto apparentemente secondario possa diventare strategico: attraverso la compromissione di una libreria ampiamente utilizzata, gli attaccanti ottengono un canale di distribuzione con una portata potenzialmente enorme. È la stessa diffusione del software a determinare l’ampiezza dell’impatto, senza che sia necessario identificare singoli target.
Si tratta di una dinamica che introduce una nuova forma di rischio in cui la vulnerabilità è distribuita e non localizzata e le organizzazioni si trovano esposte sia per le proprie scelte tecnologiche che per quelle dei fornitori e della comunità open source su cui si basano.
Open source tra bene comune e rischio sistemico
Il fatto che Axios sia un progetto open source aggiunge un ulteriore livello di complessità, dal momento che l’open source è uno dei pilastri su cui si fonda l’innovazione digitale contemporanea; permette collaborazione, trasparenza e condivisione, ed è utilizzato tanto da startup quanto da grandi multinazionali.
Tuttavia, la sua diffusione ha superato la capacità di governance che lo caratterizza. Molti progetti open source sono mantenuti da piccoli gruppi di sviluppatori, spesso senza risorse adeguate a garantire livelli avanzati di sicurezza; allo stesso tempo, questi progetti vengono integrati in sistemi critici, creando una dipendenza strutturale.
Se la natura aperta del codice consente da un lato una maggiore trasparenza e la possibilità di individuare vulnerabilità, dall’altro la mancanza di un controllo centralizzato e di obblighi normativi specifici può rendere più difficile prevenire e gestire attacchi complessi.
Il problema è che l’open source viene trattato come un bene neutro, quando in realtà rappresenta una componente critica dell’infrastruttura digitale globale. Questa ambiguità si riflette anche sul piano giuridico, dove il ruolo e le responsabilità dei maintainer restano in gran parte indefiniti.
Corea del Nord: strategia cyber e finanziamento occulto
L’attribuzione dell’attacco a un gruppo legato alla Corea del Nord consente di collocare l’evento in un contesto geopolitico più ampio. Negli ultimi anni, Pyongyang ha sviluppato infatti una strategia cyber sofisticata, utilizzando gruppi di hacker per condurre operazioni mirate al finanziamento del regime e al rafforzamento delle proprie capacità militari.
A differenza di altri attori statali, la Corea del Nord ha fatto del cybercrime una componente strutturale della propria politica economica. Il furto di criptovalute, le intrusioni nei sistemi finanziari e gli attacchi alla supply chain rappresentano strumenti per aggirare le sanzioni internazionali e ottenere risorse difficilmente accessibili attraverso canali tradizionali.
Gli attacchi alla supply chain software assumono quindi un valore strategico, perché consentono di massimizzare l’impatto con un investimento relativamente contenuto e di accedere a una molteplicità di target indiretti. Si tratta di operazioni che si collocano al confine tra criminalità e attività statale, rendendo più complessa anche la risposta sul piano giuridico e diplomatico.
Il vuoto normativo europeo e globale
L’attacco ad Axios evidenzia un problema che il diritto fatica ancora ad affrontare e cioè la regolazione della supply chain software. In Europa, strumenti come la direttiva NIS2 e il Cyber Resilience Act rappresentano passi avanti importanti, anche se non risolvono completamente la questione.
La difficoltà principale deriva dalla natura stessa del software, che è globale, distribuito e spesso sviluppato al di fuori di strutture organizzative tradizionali. I progetti open source, in particolare, sfuggono ai modelli classici di responsabilità, rendendo difficile individuare obblighi chiari e sanzioni applicabili.
Gli attaccanti possono infatti operare senza vincoli territoriali e sfruttare le debolezze della filiera, mentre la regolazione resta ancorata a logiche nazionali o regionali, con una capacità limitata di intervento su fenomeni globali.
Questa distanza tra tecnologia e diritto è in grado di amplificare le vulnerabilità, lasciando scoperti proprio quei livelli dell’infrastruttura digitale che risultano oggi più critici.
Dalla cyber security alla dependency security
Dall’attacco Axios emerge la necessità di un’evoluzione concettuale della sicurezza informatica: diventa infatti essenziale comprendere e gestire le dipendenze software su cui questi sistemi si basano.
La complessità delle applicazioni moderne rende difficile avere una visione completa delle componenti utilizzate, ma senza questa visibilità è impossibile valutare correttamente il rischio.
Strumenti come le Software Bill of Materials (elenchi strutturati che descrivono tutti i componenti e le dipendenze che compongono un software, rendendo finalmente visibile la filiera spesso opaca su cui si basa il funzionamento delle applicazioni digitali) rappresentano un tentativo di affrontare il problema, anche se la loro adozione è ancora limitata e non uniforme.
La sicurezza deve necessariamente spostarsi da una logica difensiva a una logica di controllo attivo della filiera, impedendo le intrusioni e garantendo l’integrità dei componenti lungo tutto il ciclo di vita del software. Ciò richiede competenze, strumenti e modelli organizzativi nuovi, che però molte organizzazioni non hanno ancora sviluppato pienamente.
Dalla fiducia implicita alla sicurezza strutturale
L’attacco che ha coinvolto Axios rappresenta un cambiamento nel modo in cui le vulnerabilità vengono sfruttate e nel livello a cui gli attacchi si collocano. Inoltre, la fiducia, elemento fondamentale per il funzionamento dell’ecosistema digitale, emerge come uno dei punti più fragili. Quando il software considerato affidabile diventa un vettore di rischio, viene meno una delle basi su cui si costruisce la sicurezza.
Per questo è necessario ripensare il rapporto tra tecnologia, governance e regolazione, riconoscendo il ruolo centrale della supply chain software e dell’open source e costruendo un modello in grado di garantire sicurezza senza compromettere l’innovazione.
Sembra ormai indispensabile estendere i principi di responsabilità e controllo a un’infrastruttura che, pur essendo invisibile, è diventata essenziale per il funzionamento della società digitale.
