Pesquisadores descobriram um pacote npm malicioso que se disfarçava como uma ferramenta de interface do usuário do Codex, da OpenAI. O pacote, denominado ‘codexui-android’, foi baixado mais de 29.000 vezes antes de ser identificado como uma ameaça. Embora o código no GitHub parecesse legítimo, uma atualização no npm introduziu um código que roubava tokens de autenticação do Codex. Esses tokens, especialmente o refresh token, permitem que atacantes acessem contas da OpenAI sem a necessidade de senhas, possibilitando o uso indevido de créditos de API e acesso a projetos e códigos dos desenvolvedores. Além disso, dois aplicativos Android também foram identificados como parte do ataque, com um deles acumulando mais de 50.000 downloads. A gravidade da situação é acentuada pelo fato de que o refresh token não expira, permitindo acesso contínuo e silencioso às contas comprometidas.
Fonte: https://www.techradar.com/pro/security/openai-codex-tool-with-over-29-000-downloads-linked-to-malicious-npm-supply-chain-attack-stealing-authentication-tokens
⚠️BR DEFENSE CENTER: SECURITY BRIEFING
01/06/2026 • Risco: ALTO
MALWARE
Ferramenta Codex da OpenAI com 29 mil downloads ligada a ataque malicioso
RESUMO EXECUTIVO
O ataque ao Codex da OpenAI representa uma séria ameaça à segurança de desenvolvedores, permitindo acesso não autorizado a contas e dados sensíveis. A natureza persistente do refresh token torna a situação ainda mais crítica, exigindo ações imediatas para proteger as credenciais e a integridade dos sistemas.
💼 IMPACTO DE NEGÓCIO
Financeiro
Possíveis perdas financeiras devido ao uso indevido de créditos de API e acesso a informações sensíveis.
Operacional
Acesso não autorizado a contas da OpenAI, uso indevido de créditos de API.
Setores vulneráveis
['Tecnologia da informação', 'Desenvolvimento de software']
📊 INDICADORES CHAVE
Mais de 29.000 downloads do pacote malicioso.
Indicador
Mais de 50.000 downloads de um dos aplicativos Android maliciosos.
Contexto BR
O refresh token permite acesso contínuo sem expiração.
Urgência
⚡ AÇÕES IMEDIATAS
1
Verificar se há pacotes npm não autorizados ou atualizações suspeitas em uso.
2
Recomendar a troca de credenciais de acesso e a revogação de tokens comprometidos.
3
Monitorar atividades suspeitas nas contas da OpenAI e no uso de APIs.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a segurança das credenciais de desenvolvedores e o potencial uso indevido de APIs, que pode resultar em prejuízos financeiros e de reputação.
⚖️ COMPLIANCE
Implicações legais relacionadas à LGPD, especialmente no que diz respeito ao tratamento de dados pessoais e segurança da informação.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
