SDK falsi per pagamenti rubano segreti riutilizzabili
Il problema non è il semplice typosquatting: questi pacchetti si presentano come SDK di pagamento credibili per far scorrere segreti veri fuori dalla base di codice e dalle macchine di build. Il danno non resta nel package manager; una volta letti token e API key dall’ambiente, possono essere riusati contro integrazioni di pagamento e cloud anche dopo la rimozione del pacchetto.
Socket segnala 17 pacchetti malevoli pubblicati quasi in parallelo su npm e PyPI, con nomi che imitano Paysafe, Skrill e Neteller. Su npm, più pacchetti hanno già distribuito versioni malevole 1.0.0–1.0.3; il finto client restituisce risposte normali per non destare sospetti, poi esfiltra credenziali verso AWS.
Per i team che installano dipendenze terze in build e CI, la soglia da monitorare non è solo la presenza del pacchetto: è il fatto che i segreti usati in quell’ambiente possono essere già usciti e restare validi altrove. Se una workstation o un runner ha caricato uno di questi SDK, le credenziali vanno trattate come compromesse.