En avril 2026, des chercheurs en sécurité ont identifié une compromission du package Python « elementary-data », une bibliothèque utilisée dans les environnements de data engineering et de data quality, avec environ 11 millions de téléchargements mensuels.

Cette attaque de chaîne d’approvisionnement résulte de la publication d’une version malveillante (0.23.3) sur le dépôt PyPI. Cette version contient un infostealer permettant l’exfiltration de données sensibles depuis les environnements des développeurs et systèmes CI/CD.

Une version corrigée a été publiée pour remplacer la version compromise.

Toute machine ayant installé ou exécuté la version 0.23.3 doit être considérée comme potentiellement compromise. 

Le code injecté:

• S’exécute automatiquement lors de l’installation du package (pip install) ;

• Collecte des informations sensibles (tokens, clés API, variables d’environnement) ;

• Exfiltre les données vers une infrastructure distante contrôlée par l’attaquant ;

• Peut compromettre des environnements CI/CD, cloud et postes développeurs ;