Socketは、npmで偽のライブラリーパッケージが多段階の難読化技術と偽CAPTCHAを使い、認証情報を窃取する攻撃を報告した。開発環境やクラウド資格情報が流出する恐れがあるため、再設定と鍵更新を推奨している。 Socketは2025年10月28日(現地時間)、npmパッケージ管理システムに存在する悪意のあるパッケージに関する調査結果を公表した。これらは正規ライブラリー名に似せた名称で登録されており、インストール時に自動的に実行される仕組みを悪用して多段階の情報窃取を実行する。 Socketの脅威調査チームはこれらが4段階の難読化技術を使って実際の動作を隠しつつ、偽のCAPTCHA表示やシステム情報を収集し、最終的に認証情報を盗むプログラムを展開することを確認している。 npmサプライチェーンを狙う高度な攻撃、Socketが詳細公表 問題のパッケージは「typescriptjs」「dee

