OpenAI revoca certificados MacOS tras ataque norcoreano
El 31 de marzo de 2026, actores de amenazas vinculados a Corea del Norte comprometieron la cuenta npm de Jason Saayman, mantenedor principal de Axios, una de las bibliotecas JavaScript más descargadas del mundo con más de 100 millones de descargas semanales. Mediante una campaña de ingeniería social que incluyó reuniones falsas y la instalación de software malicioso, los atacantes obtuvieron acceso remoto a su máquina y publicaron dos versiones envenenadas de la librería: 1.14.1 y 0.30.4.
Ambas versiones introducían una dependencia fantasma llamada “plain-crypto-js”, que contenía un troyano de acceso remoto multiplataforma. Aunque los paquetes maliciosos estuvieron activos apenas tres horas antes de ser retirados, el daño ya estaba hecho: Axios está presente en aproximadamente el 80% de los entornos en la nube, lo que convirtió este incidente en uno de los ataques a la cadena de suministro más significativos del año. Google atribuyó el ataque al grupo UNC1069, mientras que Microsoft lo vinculó al clúster que rastrea como Sapphire Sleet, ambos con nexos documentados a Corea del Norte.
OpenAI en la mira
El 12 de abril, OpenAI reveló que un flujo de trabajo en GitHub Actions utilizado para firmar sus aplicaciones macOS —incluyendo ChatGPT Desktop, Codex, Codex CLI y Atlas— descargó la versión maliciosa de Axios durante esa ventana crítica. Dado que ese flujo tenía acceso a los certificados de firma de código, la compañía decidió tratar esas credenciales como potencialmente comprometidas, aun sin evidencia directa de exfiltración.
En coordinación con Apple, OpenAI está bloqueando la notarización futura con el certificado antiguo. Las versiones anteriores de sus aplicaciones dejarán de funcionar tras la revocación total programada para el 8 de mayo de 2026. Los usuarios de macOS deben actualizar sus aplicaciones de inmediato para evitar interrupciones.
Un trimestre marcado por la desconfianza
Este incidente no ocurrió de forma aislada. El Índice de Malware de Código Abierto Q1 2026 de Sonatype registró 21,764 paquetes maliciosos solo en el primer trimestre, el equivalente a uno cada seis minutos, elevando el total acumulado desde 2017 a casi 1.35 millones. El registro npm concentró el 75% de los nuevos paquetes maliciosos. Sonatype señaló que los ataques más devastadores del trimestre, incluyendo el de Axios, el de LiteLLM y la campaña SANDWORM_MODE, no triunfaron por ser tecnológicamente novedosos, sino por explotar la confianza: en paquetes establecidos, en flujos de publicación legítimos y en los propios desarrolladores.
