Malware · 83 giorni fa
Il problema non è il semplice typosquatting: questi pacchetti si presentano come SDK di pagamento credibili per far scorrere segreti veri fuori dalla base di codice e dalle macchine di build. Il danno non resta nel package manager; una volta letti token e API key dall’ambiente, possono essere riusati contro integrazioni di pagamento e cloud anche dopo la rimozione del pacchetto.
Socket segnala 17 pacchetti malevoli pubblicati quasi in parallelo su npm e PyPI, con nomi che imitano Paysafe, Skrill e Neteller. Su npm, più pacchetti hanno già distribuito versioni malevole 1.0.0–1.0.3; il finto client restituisce risposte normali per non destare sospetti, poi esfiltra credenziali verso AWS.
Per i team che installano dipendenze terze in build e CI, la soglia da monitorare non è solo la presenza del pacchetto: è il fatto che i segreti usati in quell’ambiente possono essere già usciti e restare validi altrove. Se una workstation o un runner ha caricato uno di questi SDK, le credenziali vanno trattate come compromesse.
2 fonti che coprono questa storia
Fake Paysafe, Skrill SDKs on NPM and PyPi steal credentials
Malicious packages on the Node Package Manager (npm) and the Python Package Index (PyPI) delivered stealer malware to developers and users of Paysafe, Skrill, and Neteller payment applications.
Coordinated npm and PyPI Campaign Typosquats Popular Secure ...
Socket uncovered 17 malicious npm and PyPI packages typosquatting Paysafe, Skrill, and Neteller SDKs to steal developer secrets.
Part of the PlainSec briefing for 2026-07-08