プロテストウェア.

プロテストウェアは賛否両論あるカテゴリで、人気 OSS のメンテナが意図的に政治的スローガンを表示したり、実行を拒否したり、極端な場合は特定地域に地理位置情報が一致するマシンのデータを破壊する更新を公開します。最も有名なのは 2022 年 3 月の node-ipc で、ロシアまたはベラルーシに地理位置情報が一致するシステム上のファイルを削除するバージョンが公開され、援助団体を含む無関係な多くの組織にも被害が及びました。faker.js や colors.js では報酬を伴わない貢献への抗議としてメンテナ自らがパッケージを破壊しました。動機にかかわらず、ほとんどの企業セキュリティポリシーではサプライチェーン攻撃として扱われます。対策はロックファイル、上流変更の精査、OpenSSF Scorecard、SBOM ベースのインシデント対応です。