摘要： 2026年4月3日， Axios 团队披露了一起针对其维护者的供应链攻击事件。攻击者通过伪造公司形象、创建高度逼真的虚假Slack工作空间（包含仿冒团队成员资料），并利用Microsoft Teams会议以系统更新为由诱导受害者安装远程访问木马（RAT），窃取凭证并发布恶意软件包。该事件展示了高度协调的社会工程攻击手段，提醒开源软件维护者需警惕此类针对关键角色的定向欺骗策略。
讨论： 多数用户倾向于使用浏览器内置的会议软件（如Google Meet、Zoom等），避免安装额外程序。部分用户提到安装Microsoft Teams相关组件后遭遇恶意软件（RAT）风险，并建议通过浏览器沙箱机制保护安全。
原文标题：The Axios supply chain attack used individually targeted social engineering
原文链接：https://simonwillison.net/2026/Apr/3/supply-chain-social-engineering/
讨论链接：https://news.ycombinator.com/item?id=47627419