Un maintainer compromesso basta a contaminare l’intera catena npm
Il punto non è l’offerta gratuita di Socket. È che l’identità del maintainer diventa il vero confine di fiducia: una volta presa, l’attaccante può far passare codice malevolo come aggiornamento legittimo e poi allargare il danno usando i token npm rubati. I controlli sui singoli package vedono poco, perché il varco sta nel publisher, non nel nome del package.
Socket dice di aver seguito un attacco supply chain attivo partito dal takeover di un account maintainer, con malware spinto nei package keyv e cacheable e poi propagato ad altri maintainer tramite token npm sottratti. I package coinvolti stanno in profondità negli alberi di dipendenze e arrivano a decine di milioni di download settimanali, quindi il raggio d’azione riguarda l’ecosistema Node.js più che due singoli artefatti.
La conseguenza pratica è che il modello di fiducia si sta spostando fuori dal solo mantenimento volontario: servizi commerciali stanno assorbendo parte del carico di sicurezza che prima ricadeva sui maintainer. Per chi pubblica o consuma dipendenze npm, il rischio non finisce con la verifica del package; continua finché restano validi identità e credenziali di pubblicazione.