Beato Zapocalypse, che risalì la catena fino al pacchetto

Patrono delle automazioni cloud, dei ruoli IAM battezzati meglio di come sono configurati e dei segreti lasciati nei Dockerfile.

Vita

Nel 2026 Token Security raccontò Zapocalypse, una catena di attacco contro Zapier. Partendo da un account gratuito e dal codice eseguibile dentro una funzione serverless, i ricercatori uscirono dalla sandbox, recuperarono credenziali cloud dalla memoria, esplorarono i registri dei container e trovarono, nella storia di build di un'immagine, un token per pubblicare su NPM finito lì da un Dockerfile, abbastanza potente da pubblicare pacchetti caricati nelle sessioni degli utenti. Nessun anello era uno zero-day: erano tutti "anti-pattern" già noti. Zapier corresse in fretta, quindi resta beato.

Preghiera

O Beato Zapocalypse, che risali una catena di piccoli errori fino al cielo, fa' che ogni nostro anello sia robusto da solo. Amen.

Come si festeggia

Si festeggia dando ai token NPM una scadenza breve, togliendo i segreti dai Dockerfile e trattando il codice degli utenti come ostile.

Una catena di piccole sviste regge un grande disastro.