Más de 46,000 paquetes falsos inundan NPM
Una campaña sin precedentes ha sacudido el ecosistema de JavaScript: más de 46,000 paquetes falsos fueron publicados en NPM en cuestión de días, en lo que expertos consideran un ataque automatizado de gran escala. La firma de ciberseguridad Phylum identificó que estos paquetes compartían patrones de nomenclatura y estructura, con scripts ofuscados que ejecutaban código malicioso al instalarse.
El objetivo no era robar credenciales directamente, sino establecer persistencia y abrir puertas traseras en sistemas comprometidos. Los atacantes usaron técnicas de evasión como nombres de paquetes similares a bibliotecas legítimas, y estructuras que imitaban dependencias reales. Esto apunta a una evolución en las tácticas de typosquatting, donde el engaño se basa en la familiaridad del desarrollador con nombres comunes.
Lo más alarmante no es solo la cantidad, sino la velocidad: miles de publicaciones por hora, lo que sugiere el uso de bots y una infraestructura automatizada para saturar el registro. Aunque NPM ha eliminado muchos de estos paquetes, la falta de filtros proactivos y validaciones más profundas deja en evidencia una debilidad crítica en la cadena de suministro de software.
Este incidente no es aislado. En los últimos años, el ecosistema open source ha sido blanco de ataques similares, desde la inserción de malware en paquetes populares hasta la manipulación de dependencias transitorias. La diferencia ahora es la escala y la automatización.
Conclusión: El ataque masivo a NPM no solo expone vulnerabilidades técnicas, sino también una crisis de gobernanza en los repositorios de código abierto. La comunidad debe repensar sus mecanismos de validación, autenticación y monitoreo. En un entorno donde cada paquete puede ser una puerta de entrada, la confianza ya no puede ser implícita: debe ser verificada.
