Typosquatting パッケージ.

Typosquatting パッケージは開発者の補完入力とコピー&ペースト習慣を狙います。攻撃者は react、lodash、requests、cross-env、urllib3 など広く使われているライブラリを選び、わずかに名前を変えた悪意あるパッケージ(crossenv と cross-env、python3-dateutil と python-dateutil など)を npm、PyPI、RubyGems、NuGet に公開します。開発者が打ち間違える、誤ったドキュメントを参照する、AI の提案を鵜呑みにすると、その悪意あるパッケージが導入され、post-install や import 時のコードがトークン窃取、バックドア設置、暗号資産ウォレットの吸出しなどを行います。対策はロックファイル、アローリスト、依存レビュー(Socket、Snyk、GitHub Dependency Review)、CI の厳格な新規依存ポリシー、レジストリ側の名前空間保護です。