En una medida de seguridad decisiva, OpenAI anunció que todos los usuarios del sistema operativo macOS deben actualizar sus aplicaciones de escritorio lo antes posible. Esta acción urgente se produce tras la revelación de un ciberataque complejo que tuvo como objetivo la cadena de suministro de la reconocida biblioteca de software de JavaScript «Axios». Este ataque, que se cree cuenta con el respaldo de piratas informáticos de Corea del Norte, logró acceder a la ruta de firma de código de la empresa, lo que la llevó a tomar la decisión de revocar por completo los certificados de autenticación digital, una decisión que entrará en vigor el próximo 8 de mayo.
Los ataques a la cadena de suministro se cuentan entre las amenazas cibernéticas más peligrosas de la era moderna, ya que los atacantes apuntan a componentes de software intermediarios de los que dependen las grandes empresas, en lugar de atacar directamente los sistemas blindados. En este caso, la biblioteca «Axios» fue el eslabón más débil explotado para acceder a sistemas más grandes y complejos.
Detalles del ataque a la biblioteca de software Axios
El 31 de marzo pasado, un grupo de piratas informáticos logró infiltrarse en la cuenta de npm del desarrollador Jason Simon, el supervisor principal de la biblioteca «Axios». Esta brecha no fue aleatoria, sino el resultado de una campaña de ingeniería social dirigida y cuidadosamente planificada. Dicha campaña incluyó el contacto con el desarrollador a través de cuentas de empresas ficticias, la celebración de reuniones falsas y, finalmente, convencerlo de instalar un software malicioso que otorgó a los atacantes acceso remoto a su computadora.
Infiltración de código malicioso y rápida propagación
Una vez que obtuvieron las credenciales del supervisor principal, los atacantes se apresuraron a publicar dos versiones modificadas y maliciosas de la biblioteca «Axios»: las versiones 1.14.1 y 0.30.4. Ambas versiones contenían una dependencia de software falsa llamada «plain-crypto-js», que a su vez incluía un troyano de acceso remoto multiplataforma.
Aunque estas versiones maliciosas estuvieron disponibles para su descarga durante apenas unas tres horas antes de ser detectadas y eliminadas, el impacto fue catastrófico. La biblioteca «Axios» es uno de los pilares fundamentales en el desarrollo web, ya que registra en promedio más de 100 millones de descargas semanales y está presente en aproximadamente el 80 por ciento de los entornos de computación en la nube, según las estimaciones de la empresa Wiz citadas por informes de medios especializados.
Actores responsables del ciberataque
Las principales empresas tecnológicas se apresuraron a analizar el ataque y rastrear su origen. Google atribuyó esta brecha a un grupo que denomina «UNC1069», un colectivo de piratas informáticos vinculados a Corea del Norte que ha estado activo al menos desde 2018 y se caracteriza por sus motivaciones financieras. Por otro lado, Microsoft llegó de forma independiente a la misma conclusión, pero atribuye el ataque al grupo que rastrea bajo el nombre de «Sapphire Sleep».
Estos análisis indican que los piratas informáticos respaldados por estados poseen capacidades avanzadas que les permiten vulnerar infraestructuras de código abierto, lo que representa una amenaza constante y profunda para la economía digital global.
¿Cómo se vieron afectadas las aplicaciones de OpenAI?
El 12 de abril, OpenAI reveló con transparencia los detalles de cómo se vio afectada por este ataque. La empresa explicó que uno de los flujos de trabajo de GitHub Actions utilizado para firmar sus aplicaciones en macOS —que incluye la aplicación de escritorio de ChatGPT, la aplicación Codex, su interfaz de línea de comandos y la aplicación Atlas— descargó la versión maliciosa 1.14.1 de la biblioteca «Axios» durante la ventana temporal del 31 de marzo.
Revocación de certificados y medidas de protección
Los certificados de firma de código actúan como un pasaporte digital que confirma al sistema operativo que el software recibido es seguro y no ha sido alterado por un tercero. Dado que el flujo de trabajo mencionado tenía privilegios para acceder a estos certificados, la empresa decidió tratar estos datos como comprometidos como una medida de precaución estricta, a pesar de no haber encontrado ninguna evidencia que demuestre una filtración real de datos.
Actualmente, la empresa trabaja en estrecha colaboración con Apple para impedir cualquier futura autenticación utilizando el certificado anterior. Como resultado, las versiones anteriores de las aplicaciones dejarán de funcionar por completo tras la revocación total de los certificados el 8 de mayo. Por lo tanto, la actualización es obligatoria y no opcional para los usuarios con el fin de garantizar el uso seguro continuo de los servicios, ya que los sistemas operativos bloquearán la ejecución de software con certificados revocados para proteger a los usuarios.
Preocupante aumento del malware de código abierto
El incidente de la brecha en la biblioteca «Axios» no fue un hecho aislado, sino que se produjo en medio de una ola creciente de amenazas dirigidas al software de código abierto. El informe del índice de malware de código abierto del primer trimestre de 2026, publicado por la fundación Sonatype, registró 21 764 paquetes de software malicioso solo en el primer trimestre. Esta cifra equivale a la aparición de un nuevo paquete malicioso cada seis minutos.
Con estas aterradoras estadísticas, el número total de paquetes maliciosos descubiertos desde 2017 asciende a casi 1.35 millones de paquetes. El registro de npm por sí solo acaparó el 75 por ciento de los nuevos paquetes maliciosos.
Sonatype incluyó la brecha de «Axios» junto con la de «LiteLLM» y la campaña de «Sandworm Mod» como los incidentes de seguridad más destacados que moldearon el primer trimestre del año. Al respecto, la fundación señaló en su informe:
«Los mayores ataques dirigidos al software de código abierto en el primer trimestre no tuvieron éxito por utilizar tecnologías nuevas o innovadoras, sino porque los atacantes lograron explotar la confianza depositada en los paquetes de software, las rutas de lanzamiento de confianza y los flujos de trabajo de desarrollo aprobados».
En conclusión, este incidente destaca la importancia de la vigilancia constante en el mundo del desarrollo de software, así como la necesidad de que los usuarios actualicen sus aplicaciones y apliquen parches de seguridad tan pronto como se lancen, con el fin de proteger sus datos y sistemas frente a estas amenazas en evolución que explotan la confianza digital como puerta de entrada.
Preguntas frecuentes
¿Por qué OpenAI exige a los usuarios de macOS actualizar sus aplicaciones?
Debido a un ciberataque dirigido a la biblioteca de software «Axios», lo que provocó un acceso potencial a las rutas de firma de código de la empresa. Como medida de precaución, la empresa revocará los certificados de autenticación antiguos, lo que requiere una actualización inmediata de las aplicaciones.
¿Cuándo dejarán de funcionar las versiones anteriores de las aplicaciones?
Las versiones anteriores dejarán de funcionar por completo el 8 de mayo, la fecha fijada para la revocación de los antiguos certificados de autenticación digital en cooperación con el sistema de protección de los dispositivos Mac.
¿Los datos de los usuarios fueron robados como resultado de esta brecha?
Hasta el momento, la empresa no ha encontrado ninguna evidencia que confirme la filtración o el robo de datos reales, pero está manejando la situación con la máxima precaución al asumir la posibilidad de una filtración de datos para evitar futuros daños.
¿Qué aplicaciones específicas se vieron afectadas por este ataque?
Las aplicaciones afectadas incluyen la aplicación de escritorio de ChatGPT, la aplicación Codex, la interfaz de línea de comandos de Codex y la aplicación Atlas diseñadas para el sistema operativo macOS.
