חברת OpenAI הודיעה כי שני מכשירים של עובדיה נפרצו במסגרת מתקפת שרשרת אספקה רחבת היקף שכוונה למערכת של ספריות TanStack - אחת מחבילות הקוד הפתוח הנפוצות בעולם הפיתוח. למרות החדירה, החברה מדגישה כי לא נמצאה כל עדות לפגיעה במערכות ייצור, בנתוני משתמשים או בקניין רוחני.
לפי OpenAI, הפעילות הזדונית כללה ניסיון לאיסוף פרטי גישה (credentials) מתוך מאגרי קוד פנימיים שאליהם הייתה לעובדים גישה. החברה ציינה כי רק "כמות מוגבלת של חומרי זיהוי" נחשפה, וכי לא זוהתה גישה למידע נוסף.
אחד הממצאים המשמעותיים באירוע הוא חשיפה של תעודות חתימה (code-signing certificates) המשמשות לאימות יישומי macOS של החברה. בעקבות זאת, OpenAI החלה בתהליך ביטול התעודות הקיימות והנפקת חדשות. משתמשי macOS יתבקשו לעדכן את האפליקציות הרלוונטיות - כולל ChatGPT, Codex ו-Atlas - עד לתאריך 12 ביוני, שלאחריו גרסאות ישנות ייחסמו על ידי מנגנון האבטחה Gatekeeper של אפל.
המתקפה הנוכחית היא חלק מקמפיין רחב יותר המכונה Mini Shai-Hulud, אשר פגע במאות חבילות קוד פתוח בפלטפורמות npm ו-PyPI. לפי חברות אבטחת מידע, הקבוצה העומדת מאחורי התקיפה - TeamPCP - פועלת לפחות מאז סוף 2025, והצליחה בעבר לגרום לנזקים משמעותיים, כולל גניבת מיליוני דולרים במטבעות קריפטוגרפיים.
הקוד הזדוני תוכנן לגנוב אסימוני גישה ל-GitHub, מפתחות API, והרשאות למערכות ענן, ואף כלל מנגנוני הפצה עצמית שאפשרו לו להמשיך ולהדביק חבילות נוספות באמצעות החשבונות שנפרצו.
ב-OpenAI ציינו כי ננקטו צעדי תגובה מיידיים, בהם ניתוק מערכות נגועות, ביטול הרשאות וגישה, והחלפת כלל האישורים הרגישים. החברה הדגישה כי אין צורך בפעולה מצד משתמשי iOS או Windows. משתמשי macOS מתבקשים לעדכן את האפליקציות דרך מקורות רשמיים בלבד, ולהימנע מהתקנות ממקורות לא מאומתים.
0 תגובות