Bitwarden CLI (le gestionnaire de mots de passe d’une majorité de développeurs) a été (temporairement) compromis le 22 avril et a distribué une version malveillante pendant 93 minutes.

93 minutes. Le temps d’infecter des milliers d’entreprises via des outils de mise à jour automatique.

Le code volait silencieusement les clés d’accès à votre code, vos serveurs, vos pipelines de déploiement et vos environnements cloud et IA, sans laisser de trace visible. Et en utilisant GitHub lui-même pour transmettre les données volées.

Nous avons passé la nuit à analyser l’incident et à vérifier notre exposition. Résultat : nous ne sommes pas compromis.

Mais le travail produit pour y arriver mérite d’être partagé.

Nous tenons à disposition (DM) un kit complet et anonymisé (config prise en compte dans ce doc : Azure DevOps + GitHub Actions (runners hosted) + postes dev Linux, MacOS & Windows) :

Si vous utilisez Bitwarden CLI, ou si vous voulez être prêt pour la prochaine attaque supply chain, envoyez-nous un DM.

C’est gratuit. C’est concret. Et ça peut vous faire gagner une nuit blanche.

Vous pouvez aussi prendre rendez-vous avec nos experts pour une consultation de sécurité sans engagement.