スタージャッキング.

悪意あるパッケージが有名な GitHub リポジトリへの偽のリンクを設定し、そのスター数や貢献者、信頼性を見かけ上引き継がせるサプライチェーン手法。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

悪意あるパッケージが有名な GitHub リポジトリへの偽のリンクを設定し、そのスター数や貢献者、信頼性を見かけ上引き継がせるサプライチェーン手法。

スタージャッキングは、npm や PyPI といったレジストリが、作者が指定した URL を所有権検証せずに人気指標(GitHub スター数、貢献者数、README)として表示する仕様を悪用します。攻撃者は悪意あるパッケージや typosquatting パッケージを公開し、repository フィールドに無関係な著名プロジェクトを指定します。スター数やダウンロードバッジで信頼性を判断する開発者やツールは、人気あるプロジェクトに見えるためそのまま悪意あるコードをインストールしてしまいます。typosquatting や依存関係混乱攻撃と組み合わされることが多く、対策には実際のリポジトリ URL の確認、メンテナ履歴と公開日の点検、Socket・OpenSSF Scorecard・レジストリ署名検証などのツール活用が有効です。

スタージャッキング に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: スター乗っ取り, Stat-jacking。