こういうケースでは、パッケージのメンテナのアカウント自体がハッキングされてるから、意味があるかどうかわからないな。唯一の解決策は、すべてのリリースを即時適用しないようにすることだね。

npmの根本的な問題って、まだ名前空間の強制がないことなのかな？Javaの世界では、「なんでMavenはnpmみたいに簡単じゃないの？」って、主にジュニアから文句が出てるのを知ってる（そういう人たちと一緒に仕事してるから）。このブログ記事を教えてあげてるよ：https://www.sonatype.com/blog/why-namespacing-matters-in-pub... Mavenは昔、いろんなことをうまくやってたんだ。確かにPOMファイルはXMLだし、XMLが嫌われてるのはみんな知ってるけど、それを除けば、堅牢性や慎重に考えられた変更に対するこだわりは、ますます印象的になってる。

TLDは1500個くらいあるけど、一部は制限されてたり国コードのTLDだったりする。でも、制限のないTLDを全部登録し続けるのに、実際にどれくらいのコストがかかるのか気になるな。きっとそれをやってくれるSaaS企業があるはず。

標準的なドメインを持つことに比べたら、これは悪いアイデアに思える。人々は「npm.」を見ることに慣れてしまって、本物だと勘違いするかもしれない。そして、NPMが新しいTLDの登録に遅れるだけで、誰かがそのドメインを使って悪いことをすることができる。

AWSみたいな会社があって、以前は no-reply-aws@amazon.com から請求書を送ってたんだけど、先月から no-reply@tax-and-invoicing.us-east-1.amazonaws.com に変わったんだよね。これ、なんかランダムなEC2インスタンスを使ったフィッシングの試みみたいに見えるけど、どうやら本物らしい。と思う。事前に送られた「お知らせ」メールもフィッシングっぽかったから、実際の請求書がそのアドレスから来るのか待ってたんだけど、今でも添付のPDFは開いてないよ。こういう会社はフィッシングに気をつけろって言うくせに、こんなことするんだよね。

明日返信するね。

"npmエコシステム"ではないよ。最後の54秒間に更新してないなら、もう手遅れだね。

「新しいバージョンをデフォルトで使うのは2週間待つだけ」って、サプライチェーン攻撃に対する素晴らしい防御方法だね。

2. U2F/Webauthnキーは二要素認証としてフィッシングに強いけど、TOTPはそうじゃない。ブラウザに統合されたパスワードマネージャーを使っているなら、TOTPはフィッシングに強くなくても大丈夫だよ。

Stripeの内部エンジニアのプレゼンをどこかで見たんだけど、彼女はセキュリティ関連の仕事をしていて、自分の会社の半分をフィッシングしたんだ（もちろんテスト目的で）。彼女の結論は、非常に規律がありセキュリティ意識の高い場所でも、実際には不可能だってことだった。人間の対策では減らせないって。唯一効果的なのはYubiKeyで、これがこの種の認証情報や二要素認証のフィッシング攻撃を防ぐんだ。

#1は本当に大事なことだよ。予期しない電話には個人情報を絶対に教えないのと同じ。知っている番号からかけ直すべきだね。

1. 絶対にメールのリンクからログインしないこと。定期的にGoogleドキュメントのリンクがメールで届くけど、幸いなことにほとんど重要じゃないから実際にログインして中を見ることはほとんどないんだ。ただ、誰かがドキュメントのリンクを送ってきたとき、実際の代替手段がないのが問題なんだよね。リンクをたどるか、彼らに連絡して別の配信方法を尋ねるかしかない。（それとも、常にプラットフォームにログインしておくかだけど、私はGoogleに常にログインしているのは避けたい。）この状況については、一般的にどうすればいいのか分からないな。

1. メールのリンクからログインするのは絶対にやめて。絶対に。正当なメールとフィッシングメールがこれを求めてくるから、どっちがどっちか見分けるのはほぼ不可能。勝つための唯一の方法は、試さないこと。パスワードログインをやめて、ログインプロセスを始めてからメールクライアントで「マジックリンク」をクリックさせるサイトは、ここで良い習慣を育てるには最悪だし、一般的なアドバイスとしてもダメだよ。:c

緊急性もフィッシング（今すぐログインしないと24時間以内にアカウントをロックします）か、マーケティング（このプロモーションを利用して！24時間以内に終了します！）のどちらかだよ。だから…やめとけ。

TOTPの利点と欠点についてもっと読めるところ、どこかおすすめある？この認証アプリは、俺がよく遭遇する2FAのセカンドファクターだから、安全のためにいい情報源が欲しいんだ。

U2F/Webauthnキーをセカンドファクターにするとフィッシングに強い。TOTPはそうじゃない。最後に確認したとき、重要なオンラインアカウント（例えば銀行の口座で、オンラインバンキングを完全に無効にするオプションがないかもしれないところ）を持っている人の大多数は、そういうものが何かを言えないし、ほとんどのオンラインサービスではSMSベースのTOTP以外使えないし、残りのほとんどでは「アプリ」ベースのTOTP（稀にデスクトッププログラムも！）しか使えない状態だよ。そもそも2FAを持っているかどうかも怪しいけど。

君は一万分の一のチャンスを持った犯罪者だよ。もっとしっかりしたエクスプロイトを推進するのに、余分に一週間投資しないの？ だって、これが実行された方法ではすぐにバレるだろうし。微妙な挿入じゃなくて、完全にアカウントを乗っ取る形だったから。攻撃者は発見されるまで数時間しかなかったから、論理的にはヒットアンドランが最善の策だよね。自動的に数時間で引き出せる最大の金額は何かって聞かれたら、暗号が明らかに答えだよ。バックドアがすごくて、攻撃コードを半分の世界が解析しても発見されないってことがない限り、試す意味はなかったんだ。

僕の仕事用のノートパソコンは、人生の時期によっては信じられないような情報にアクセスできたこともあるよ。みんなこのことを認めてるのに、HNではITチームが開発用ノートパソコンにかけた制限やEDRについて非難するコメントが溢れてるのが不思議。運用側の僕たちはこのリスクを何年も前から知っていて、その知識が組織のセキュリティポリシーやエンドポイントの設定を推進してるんだ。セキュリティは難しいし、すごく不便だけど、ますます必要になってきてる。

盗まれた暗号通貨は確実にやばいよ。詐欺的な取引は止められないし、逆転もできないからね。ランダムな開発者のAPIやSSHキーなんて、運が良くない限りほとんど価値がないし、運が良くてもその認証情報を売ったりしてお金を得る方法を見つけないといけないけど、その収益も結局暗号通貨で表されることになるから。

一度このマルウェアに引っかかったことがある。バックグラウンドでMBを動かしてても、ノートパソコンにマルウェアが入ってた。アドレスをコピー＆ペーストして、チェックもせずにそのまま送信した。ほんとに自分が悪いよ。あいつらはこの「一発勝負」でたくさんお金を稼いでるんだ。

お前は一万分の一のチャンスを持った犯罪者だ。もっと練り込まれた悪用を推進するために、もう一週間投資しないか？『オフィス・スペース』のプロットがヒントをくれるかも。あと、欲張りな犯罪者が捕まる可能性が高いって、犯罪の基本じゃない？

中に入って、数十万ドルを盗んで出て、数ヶ月後に同じことを繰り返す。何回か繰り返せば、警察を避ける方法さえ知っていれば、退職まで心配なしで生きられる。別のものを盗んでも、結局は全部を暗号通貨に変えなきゃならないし、AWSキーがどれだけ稼げるかなんて大したことないよ。パスワードやパスワードマネージャーのデータベースを狙う犯罪者もいるけど、彼らも結局は暗号通貨のウェブサイトを狙うことが多い。完璧なタイミングを待って、静かに企業に潜入する犯罪者もいるだろうけど、暗号通貨のウォレットを抜くような連中よりは捕まりにくいね。

北朝鮮だから、暗号通貨が実用的な理由で手に入る最良の資産なんだ。他のものには法定通貨の市場が必要だけど、リモートで扱うのは難しい。

誰かのマシンで手動でスヌーピングして、クレジットカード番号みたいな敏感な情報を抜き取るっていう、すごくターゲットを絞った攻撃の例を挙げてるけど、(1) それを何百、何千ものSSH/APIキーでどうやってやるの？ (2) それで実際にどうやってお金を稼ぐの？ SSHや特定のAPIキーのリストを手に入れて、そこからもっと秘密を集めるクローラーを書くってこと？クレジットカードの詳細とか（それってどうやってやるの？）それからどうするの？「資格情報を売る方法」をググって、映画みたいにフォーラムに登録して取引を仲介するの？それは飛行中に暗号アドレスを入れ替えるよりも、ずっと複雑で危険な感じがするね。

誰かがあなたが説明した通りの攻撃を実際にやって、ただ捕まらなかったって可能性もあると思う。

プッシュされたペイロードは新しいトラフィックを生成しなかった。ただ、暗号取引の受取先を別のアカウントに置き換えただけ。検出するのは本当に難しかっただろうね。APIキーを抜き取るのはもっと早く見つかってたはず。一方で、この手法は、開発者のアカウントを乗っ取ってコードを公開したやり方とは完全に矛盾してる。これはすぐに気づかれることになるからね。もしペイロードがもっと微妙な方法で注入されていたら、気づくのに時間がかかったかもしれない。特に、被害者が自分のせいで何かを間違えたと思わせるようなレーベンシュタインのロジックがあったら。

その主張は正当だよ。npm.helpからの正規のものだから。もしnpm.helpを何か別のものだと思っているなら、それはDKIMとかではどうにもならないことだよ。