veilletech.frCe qui se passe
Le 17 septembre 2026, Adam Harvey publie un avertissement au nom de l'équipe crates.io et du groupe de travail sécurité de Rust : une campagne qu'ils estiment toujours active vise les membres de rust-lang et les propriétaires de crates très installées, pour prendre la main sur leurs machines et publier du logiciel malveillant en leur nom.
Le scénario ne passe par aucune faille :
- Une prise de contact arrive, pour un emploi, un projet ou un contrat.
- Un appel visio est organisé — sur la plateforme choisie par l'interlocuteur.
- Pendant l'appel, la cible doit installer quelque chose (un codec audio prétendument manquant) ou exécuter une commande, parfois simplement déposée dans le presse-papiers.
Les sociétés qui servent de façade sont créées pour l'occasion, avec des profils LinkedIn assez fournis pour survivre à une vérification rapide.
Pourquoi ça compte
Un mainteneur compromis, c'est une signature de confiance qui change de mains. La crate arrayref a été brièvement compromise le mois dernier par une attaque de cette forme, et une vague comparable avait visé des développeurs Rust en juin. Rust ne dit pas s'il s'agit d'une seule campagne ; le mode opératoire, lui, est attribué à la Corée du Nord et déjà observé hors de Rust.
Source : Be alert: targeted attacks on prominent Rustaceans, Rust Blog, 17 septembre 2026.