Viermele din piesele de software — pe înțelesul tuturor

Articolul ăsta e despre un atac cu nume ciudat — Shai-Hulud, botezat după viermele uriaș din „Dune” — care a lovit lumea programatorilor. Rămâi, totuși: povestea ajunge, pe un drum surprinzător de scurt, până la firma ta. Iar pe alocuri, decizia e a ta.

Magazia de piese

Site-ul firmei tale are, să zicem, un formular de contact, un calendar de programări și un coș de cumpărături. Agenția care l-a construit nu le-a scris de la zero pe niciunul: le-a luat gata făcute, gratuite, dintr-o magazie publică de pe internet — un loc unde programatori din toată lumea pun la comun bucăți de program pe care oricine le poate refolosi. Așa se construiește software peste tot în lume: repede, ieftin și, de regulă, bine. Nimeni nu-și toarnă singur șuruburile.

Un singur detaliu contează pentru povestea noastră: magazia funcționează pe încredere. Când agenția ia o piesă de acolo, nu o desface șurub cu șurub să vadă ce are înăuntru. O montează.

Ce a făcut viermele, pas cu pas

În toamna lui 2025, cineva a pus otravă exact în asemenea piese. Uite drumul ei, în patru pași:

1. Un programator oarecare — să-i zicem Radu, lucrează la o agenție web — își ia de dimineață piesele din magazie, ca în fiecare zi. Una dintre ele, de data asta, are otravă în ea.
2. Otrava îi fură lui Radu cheile. Nu cheile de la birou — parolele și „legitimația” cu care Radu însuși publică piese în magazie.
3. Cu legitimația lui Radu, otrava se pune singură în piesele LUI. De acum, oricine ia o piesă făcută de Radu pățește ce a pățit el la pasul 1. Și are și el, la rândul lui, piese în magazie…
4. Și tot așa, fără nimeni la butoane. De-asta i s-a zis vierme: se înmulțește singur, ca o molimă. În câteva zile — sute de piese otrăvite, iar o parte din parolele și cheile furate, publicate la vedere pe internet, la îndemâna oricui.

Tu n-ai auzit niciodată de Radu. N-aveai cum și nici nu trebuia. Dar dacă agenția ta a montat în site-ul tău o piesă otrăvită, otrava e acum la tine în casă — adusă de un om pe care nu l-ai văzut în viața ta, angajat al unei firme cu care n-ai semnat nimic.

Ziua în care primești chestionarul

Viermele a lovit în 2025, dar pentru firmele obișnuite povestea abia în 2026 a bătut la ușă — sub formă de hârtie. Firmele mari, obligate de lege să-și verifice furnizorii, au început să trimită formulare: „Confirmați că nu ați fost afectați de campania Shai-Hulud”. Formularul coboară din firmă în firmă, pe lanț — și mai devreme sau mai târziu ajunge și la una care n-a scris cod în viața ei. De exemplu, a ta: clientul tău cel mai mare, banca sau asigurătorul ți-l trimite, cu termen de două săptămâni. De răspuns poate depinde contractul.

Cele trei întrebări pentru agenția ta

Nu-ți trebuie cunoștințe tehnice ca să le pui — și un furnizor serios răspunde la toate trei fără să se simtă jignit:

1. „Verificați piesele pe care le montați în site-ul nostru?” — există unelte automate care fac exact asta: se uită la fiecare piesă folosită și dau alarma la cele cu probleme cunoscute. Întrebarea e doar dacă sunt pornite.
2. „Dacă o piesă folosită la noi se dovedește otrăvită, în cât timp aflăm noi?” — un răspuns bun vine cu un termen concret („vă anunțăm în 24 de ore”); un răspuns prost sună a „nu s-a pus problema”.
3. „Ne puteți da în scris ce ați verificat după Shai-Hulud?” — hârtia asta e cea care te scoate din încurcătură când vine chestionarul de mai sus.

3 lucruri de făcut de mâine dimineață

1. Fă lista celor care îți ating software-ul: cine v-a făcut site-ul, cine îl întreține, cine vă administrează magazinul online, unde vă sunt găzduite aplicațiile. La un incident ca ăsta, lista e harta ta.
2. Pune cele trei întrebări de mai sus măcar furnizorului principal. În scris. Răspunsurile stau în același dosar cu contractele.
3. Decide azi cine răspunde la chestionarele de securitate venite de la clienți. Un om, o adresă — ca să nu se plimbe formularul trei săptămâni între departamente în timp ce termenul curge.

Morala scurtă

Viermele din Dune înghițea tot ce mișca în deșert; ăsta digital a înghițit parole și piese de software. Lecția pentru o firmă obișnuită nu e despre viermi — e că software-ul „tău” a trecut prin mâinile unui șir întreg de oameni pe care nu i-ai văzut niciodată, iar ușa lor e și ușa ta. Nu poți păzi tu magazia. Poți, în schimb, să știi cine îți montează piesele — și să-i pui, o dată pe an, trei întrebări bune.