Esta semana el equipo de crates.io publicó un aviso que suena a paranoico pero es completamente real: hay una campaña activa atacando a miembros del equipo de Rust y a dueños de crates populares, con un objetivo clarito — comprometer sus equipos o sus cuentas para publicar malware en el registro de paquetes.
Cómo funciona la jugada
El patrón es simple y por eso es tan efectivo. Te contactan en frío con algo positivo: una oferta de pega, un proyecto, un contrato freelance. Proponen una videollamada. Y ahí viene el golpe: o te hacen instalar algo supuestamente faltante (un «codec de audio» que tu máquina necesita para la reunión), o te meten un comando en el portapapeles para que lo pegues sin pensar. Nada de exploits exóticos; ingeniería social de manual.
Lo que da más lata es el nivel de preparación: los atacantes arman perfiles de empresas nuevas que se ven legítimas, con presencia en LinkedIn creíble, para pasar una inspección rápida sin levantar sospechas. No es un mail de un príncipe nigeriano; es alguien que se tomó el tiempo de construir una identidad completa.
Esto ya pasó antes, y no es casualidad
En junio hubo una oleada similar contra desarrolladores Rust prominentes, y el mes pasado el crate arrayref quedó brevemente comprometido por ataques de este mismo estilo. El equipo no sabe todavía si todo es parte de una misma campaña, pero hay un detalle que no se puede ignorar: este tipo de ataque es conocido como método del programa de amenaza norcoreano (DPRK), y se ha visto fuera de la comunidad Rust también.
O sea, no estamos hablando de un kid de script que anda probando suerte. Estamos hablando de un actor estatal usando a mantenedores de open source como vía de entrada a la cadena de suministro de software de medio mundo.
Por qué esto debería importarte aunque no programes en Rust
Aquí va mi opinión, y la digo sin rodeos: los mantenedores de open source son el punto ciego de la seguridad de todos. Un crate con millones de descargas puede tener un solo humano detrás, trabajando gratis, sin equipo de seguridad, respondiendo correos entre la pega y la vida. Si ese humano cae en un ataque de ingeniería social, el malware llega directo a los pipelines de miles de empresas. Es la misma lección de los ataques a npm de los últimos años, pero con un actor más sofisticado detrás.
Y la recomendación del equipo de Rust es de las que uno puede aplicar hoy mismo, trabaje donde trabaje:
Desconfía de contactos en frío. Si alguien aparece con una oportunidad demasiado buena, verifica antes de aceptar cualquier reunión.
Tú organiza la llamada. Usa plataformas en las que tú ya confías y, en la medida de lo posible, sé quien manda el enlace. Si el otro insiste en una herramienta rara que «no funciona con Zoom», esa es una señal roja tamaño camión.
Revisa tus cuentas. MFA activado, sin logins extraños en las plataformas que registran sesiones, y si algo huele raro, contactar a security@rust-lang.org o help@crates.io antes de que sea tarde.
La barrera de la paranoía saludable es baja; el costo de ignorarla, altísimo. Si mantienes un paquete popular, hoy es buen día para revisar dónde guardas tus tokens y quién te escribió esta semana. Cachai la ironía: el exploit más efectivo del 2026 sigue siendo una persona amable con una cámara encendida.
Fuente de inspiración: Be alert: targeted attacks on prominent Rustaceans
