NPM सप्लाई-चेन हमला: क्या हुआ और इसे कैसे ठीक करें

क्रिप्टोकरेंसी उद्योग और व्यापक दुनिया ने हाल ही में एक झटका महसूस किया जब सुरक्षा विशेषज्ञों ने Node.js इकोसिस्टम को लक्षित करने वाले सप्लाई-चेन हमले की पहचान की, जिसने पहले ही 18 npm पैकेजों को समझौता कर लिया था।

ऐसा इसलिए है क्योंकि इन कुछ पैकेजों को हर हफ्ते अरबों डाउनलोड मिलते हैं।

सॉफ्टवेयर पैकेजों का उपयोग तृतीय‑पक्ष सॉफ़्टवेयर वितरित करने के लिए किया जाता है। अक्सर पैकेज मैनेजर के माध्यम से बाहरी स्रोत से प्राप्त किए जाते हैं, इनमें आमतौर पर स्रोत कोड, लाइब्रेरी, दस्तावेज़ीकरण और सॉफ़्टवेयर को बनाना और चलाना के लिए आवश्यक अन्य फ़ाइलें शामिल होती हैं।

अब, एक पैकेज जिसमें मैलवेयर है, वह खुद को वैध पैकेज के रूप में प्रस्तुत करता है, जबकि वास्तव में वह एक दुर्भावनापूर्ण पैकेज है जिसका उद्देश्य सॉफ़्टवेयर को संक्रमित करना है। सिस्टम में प्रवेश करने पर, दुर्भावनापूर्ण पैकेज का मैलवेयर फ़ाइलों को संशोधित कर सकता है, डेटा चुराता, और यहां तक कि पूरे सिस्टम को अपने नियंत्रण में ले लेता है जैसा कि हमलावर चाहता है।

जबकि Python और .NET जैसे अन्य प्रमुख ओपन‑सोर्स इकोसिस्टम भी हमलों के प्रति समान रूप से संवेदनशील हैं, जावास्क्रिप्ट का व्यापक उपयोग इसे साइबर अपराधियों के लिए विशेष रूप से उजागर बनाता है।

Node.js जावास्क्रिप्ट के ऊपर निर्मित एक ओपन‑सोर्स रनटाइम वातावरण है जो डेवलपर्स को उनके कोड को वेब ब्राउज़र के बाहर चलाने में सक्षम बनाता है। 

परम्परागत रूप से, इंटरप्रेटेड प्रोग्रामिंग भाषा जो मुख्यतः वेब पेजों को इंटरैक्टिव बनाने के लिए जानी जाती है, का उपयोग मुख्यतः ब्राउज़र में क्लाइंट‑साइड वेब विकास के लिए किया जाता था, लेकिन Node.js ने जावास्क्रिप्ट के उपयोग को सर्वर‑साइड और अन्य अनुप्रयोगों तक विस्तारित किया।

Node.js के साथ, डेवलपर्स तेज़ और स्केलेबल एप्लिकेशन बना सकते हैं जैसे वेब सर्वर, API, टूल्स, और अधिक।

यह npm के माध्यम से उपलब्ध ओपन‑सोर्स लाइब्रेरी और टूल्स के विशाल इकोसिस्टम से लाभान्वित होता है, जो विकास को सरल बनाता है और विभिन्न कार्यात्मकताओं के लिए समाधान प्रदान करता है।

Node Package Manager, या npm, जावास्क्रिप्ट विकास में एक प्रमुख टूल है, जिसका उपयोग कोड पैकेजों को खोजने, बनाने और प्रबंधित करने के लिए किया जाता है। यह निर्भरताओं को संभालने, सहयोग को सक्षम करने, और कार्यप्रवाह को सुव्यवस्थित करने में मदद करता है। 

यह विश्व का सबसे बड़ा सॉफ़्टवेयर रजिस्ट्री 3 मिलियन से अधिक कोड पैकेजों को समाहित करता है और पूरी तरह से मुफ्त है। 

कोई भी सभी npm सार्वजनिक सॉफ़्टवेयर पैकेजों को बिना पंजीकरण के डाउनलोड कर सकता है। ओपन‑सोर्स डेवलपर्स npm का उपयोग सॉफ़्टवेयर साझा करने और उधार लेने के लिए करते हैं, जबकि कई संगठन इसका उपयोग निजी विकास को प्रबंधित करने के लिए करते हैं।

अपने कंप्यूटर पर npm स्थापित करने के लिए, आपको पहले Node.js स्थापित करना होगा।

जावास्क्रिप्ट के पैकेज मैनेजर को npm, Inc. द्वारा बनाए रखा जाता है, जो GitHub की सहायक कंपनी है, जो विश्व का प्रमुख सॉफ़्टवेयर विकास प्लेटफ़ॉर्म है, और 2018 से माइक्रोसॉफ्ट की स्वामित्व में है, जब इस तकनीकी दिग्गज ने इसे डेवलपर्स को सशक्त बनाने के लिए $7.5 बिलियन में खरीदा था। 

पिछले हफ़्ते, वह टूल जिस पर विश्व भर में 17 मिलियन से अधिक डेवलपर्स निर्भर करते हैं, समझौता किया गया, जिससे इंटरनेट पर हल्का पैनिक हुआ, हालांकि यह केवल एक क्षण के लिए था, क्योंकि विशेषज्ञों ने इसे जल्दी पकड़ लिया, और हमलावरों ने $50 से अधिक नहीं चुराए। यहाँ क्या हुआ!

निपीएम सप्लाई‑चेन हमले में क्या हुआ (सितंबर 2025)

जावास्क्रिप्ट इकोसिस्टम में हुए बड़े सप्लाई‑चेन हमले में, हैकर्स ने मैलवेयर के साथ कई npm पैकेजों को समझौता किया। इस हमले का उद्देश्य अनभिज्ञ उपयोगकर्ताओं से डिजिटल संपत्तियों को चुराना था। 

विशेष रूप से, डेवलपर ‘qix’ के npm खाते को हैक किया गया। 

Qix एक ओपन सोर्स मेंटेनर खाता है जिसे फ़िशिंग हमले के माध्यम से समझौता किया गया। इसने हमलावरों को 18 लोकप्रिय npm पैकेजों में दुर्भावनापूर्ण कोड डालने की अनुमति दी। साथ मिलकर, ये पैकेज साप्ताहिक आधार पर सैकड़ों मिलियन बार डाउनलोड होते हैं क्योंकि वे फ्रेमवर्क, डेवलपर टूलिंग, और प्रोडक्शन सेवाओं में एम्बेडेड होते हैं।

प्रभावित पैकेजों में chalk, debug, color-name, wrap-ansi, और ansi-styles शामिल हैं, जो सबसे लोकप्रिय हैं, जबकि कम लोकप्रिय npm पैकेजों में backslash, chalk-template, और has-ansi शामिल हैं।

स्क्रॉल करने के लिए स्वाइप →

प्रभावित सभी पैकेजों को तब से npm रजिस्ट्री द्वारा हटा दिया गया है। एक उच्च‑मूल्य वाले ओपन‑सोर्स मेंटेनर को समझौता करके, इस हमले ने ओपन‑सोर्स सॉफ़्टवेयर (OSS) इकोसिस्टम में विश्वास को हथियार बना दिया है, क्योंकि डेवलपर्स हर निर्भरता को ऑडिट नहीं करते जो वे उपयोग करते हैं। वे इसके उपयोग और प्रतिष्ठा, साथ ही रजिस्ट्री की सुरक्षा पर भरोसा करते हैं।

पैकेजों को समझौता करने के लिए, हैकर ने फ़िशिंग मार्ग अपनाया। हमलावर ने पहले एक फ़िशिंग अभियान शुरू किया ताकि npm पैकेज मेंटेनर के खाते को हाइजैक किया जा सके, फिर अपने दुर्भावनापूर्ण कोड को npm पैकेजों में इंजेक्ट किया और समझौता किए गए संस्करण अपलोड किए।

डेवलपर जोश ज्यूनॉन वह व्यक्ति थे जो एक फ़िशिंग ईमेल का शिकार हुए, जो npm की नकल करने वाले बड़े अभियान का हिस्सा था। इसलिए, हमलावरों ने एक फ़िशिंग साइट का उपयोग किया जो npm के लॉगिन पेज की नकल करती थी, ताकि उसकी क्रेडेंशियल्स चुराई जा सकें। और जैसे ही हमलावरों ने प्रवेश किया, उन्होंने ज्यूनॉन को उनके npm खाते के ईमेल पते को बदलकर बाहर कर दिया।

“हाय, हाँ मैं समझौता हो गया। सभी को माफ़ करें, बहुत शर्मनाक है,” ज्यूनॉन ने HackerNews पर लिखा, घटना की पुष्टि की। उन्होंने स्पष्ट करने से पहले बताया कि केवल npm प्रभावित था:

“पहली नज़र में वैध लग रहा था। कोई बहाना नहीं बना रहा हूँ, बस एक लंबा हफ़्ता और एक घबराया हुआ सुबह था और मैं अपनी टू‑डू सूची से कुछ हटाने की कोशिश कर रहा था। साइट पर सीधे जाने की बजाय लिंक पर क्लिक करने की गलती की।”

फ़िशिंग ईमेल support [at] npmjs [dot] help से आया और ज्यूनॉन को लिंक पर क्लिक करने के लिए डराने की रणनीति का उपयोग किया, जिससे वह फ़िशिंग साइट पर रीडायरेक्ट हो गया।

npm का दिखावा करते हुए, हमलावरों ने उसे उसके 2FA क्रेडेंशियल्स को अपडेट करने के लिए कहा, यह दावा करते हुए कि यह “खाते की सुरक्षा के लिए निरंतर प्रतिबद्धता” का हिस्सा है, और वे सभी उपयोगकर्ताओं से यही अनुरोध कर रहे हैं। 

“हमारे रिकॉर्ड दर्शाते हैं कि आपकी अंतिम 2FA अपडेट को 12 महीने से अधिक हो चुके हैं,” फ़िशिंग ईमेल ने कहा, यह जोड़ते हुए कि “पुराने 2FA क्रेडेंशियल वाले उपयोगकर्ताओं को 10 सितंबर 2025 से अस्थायी रूप से लॉक किया जाएगा, ताकि अनधिकृत पहुंच रोकी जा सके।”

उसी ईमेल का उपयोग अन्य पैकेज मेंटेनरों और डेवलपर्स को लक्षित करने के लिए भी किया गया।

प्रभावित पैकेजों के व्यापक उपयोग को देखते हुए, यदि इसे इतनी जल्दी संभाला नहीं गया होता तो यह एक बड़ी घटना बन सकती थी।

Aikido Security के चार्ली एरिकसन ने एक रिपोर्ट में कहा कि इस हमले से अनगिनत वेबसाइटों ने बहुत गंभीर नुकसान से बचा, जहाँ npm पैकेजों में ऐसा कोड था जो वेबसाइट के क्लाइंट पर निष्पादित होता।

“यह मैलवेयर मूलतः एक ब्राउज़र‑आधारित इंटरसेप्टर है जो नेटवर्क ट्रैफ़िक और एप्लिकेशन API को हाइजैक करता है,” उन्होंने अपने हमले विश्लेषण में कहा। “जो इसे खतरनाक बनाता है वह यह है कि यह कई स्तरों पर काम करता है: वेबसाइट पर दिखाए गए कंटेंट को बदलना, API कॉल को छेड़छाड़ करना, और उपयोगकर्ता के ऐप्स को यह विश्वास दिलाना कि वे सही चीज़ साइन कर रहे हैं। भले ही इंटरफ़ेस सही दिखे, अंतर्निहित लेनदेन पृष्ठभूमि में पुनर्निर्देशित किया जा सकता है।”

दुर्भावनापूर्ण कोड को क्रिप्टो चोरी करने के लिए डिज़ाइन किया गया था। हमलावर स्ट्रिंग्स में क्रिप्टो वॉलेट पतों को स्कैन करता है, जिससे क्रिप्टो‑संबंधित अनुप्रयोगों पर काम करने वाले लोग जोखिम में पड़ जाते हैं।

मैलवेयर ब्राउज़र के भीतर चुपचाप काम करता था, उपयोगकर्ता को पता न चलने पर, वॉलेट पतों को पुनर्लेखित करता और फंड्स को हमलावर के नियंत्रित खातों में रीडायरेक्ट करता। यह सीधे Bitcoin, Ethereum, Solana, Tron, Litecoin, और Bitcoin Cash के लेनदेन को प्रभावित करता है।

ऐसा करने के लिए, दुर्भावनापूर्ण कोड ने ब्राउज़र के एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस जैसे fetch और wallet इंटरफ़ेस जैसे window.ethereum की निगरानी की।

दुर्भावनापूर्ण कोड “ब्राउज़र में क्रिप्टो और Web3 गतिविधियों को चुपचाप इंटरसेप्ट करता है, वॉलेट इंटरैक्शन को हाइजैक करता है, और भुगतान गंतव्यों को पुनर्लेखित करता है ताकि फंड्स और अनुमोदन हमलावर‑नियंत्रित खातों में रीडायरेक्ट हो जाएँ, बिना उपयोगकर्ता को स्पष्ट संकेत दिखाए,” एरिकसन ने कहा।

पूरा होने के बाद, मैलवेयर अपने निशान मिटा देता है जबकि अभी भी पृष्ठभूमि में रहता है ताकि पीड़ित के नेटवर्क पर भविष्य के लेनदेन को पकड़ सके।

हमले की गंभीरता को देखते हुए, हार्डवेयर वॉलेट प्रदाता Ledger के CTO चार्ल्स गिलेमेट ने क्रिप्टो उपयोगकर्ताओं को ऑन‑चेन लेनदेन की पुष्टि करते समय सावधान रहने की चेतावनी दी। उन्होंने उल्लेख किया कि प्रभावित पैकेजों को पहले ही 1 बिलियन से अधिक बार डाउनलोड किया जा चुका है।

वह समुदाय के साथ साझा किए गए बड़े पैमाने के सप्लाई‑चेन हमले का लक्ष्य क्रिप्टो सॉफ़्टवेयर वॉलेट्स को वह दुर्भावनापूर्ण पेलोड “फ़्लाई पर चुपचाप क्रिप्टो पते बदलकर फंड्स चोरी करना” के साथ निशाना बनाना है।

“यदि आप हार्डवेयर वॉलेट का उपयोग करते हैं, तो साइन करने से पहले प्रत्येक लेनदेन पर ध्यान दें और आप सुरक्षित रहेंगे। यदि आप हार्डवेयर वॉलेट नहीं उपयोग करते हैं, तो अभी के लिए किसी भी ऑन‑चेन लेनदेन से बचें।”

– गिलेमेट

इसी बीच, DefiLlama के गुमनाम संस्थापक 0xngmi ने X पर कहा कि “प्रभावी प्रभाव क्षेत्र ‘सभी वेबसाइटों’ से बहुत छोटा है”, क्योंकि केवल वे प्रोजेक्ट्स जोखिम में हैं जो मैलवेयर‑प्रभावित npm पैकेज प्रकाशित होने के बाद अपडेट किए गए थे। फिर भी, “यह बेहतर है कि इस समस्या के समाप्त होने और बुरे पैकेजों की सफ़ाई तक क्रिप्टो वेबसाइटों का उपयोग न करें,” उन्होंने जोड़ा।

अंत में, हैकर्स केवल $50 मूल्य की क्रिप्टोकरेंसी चुरा पाए, जिसमें ईथर और कई मीम कॉइन्स जैसे Brett और Andy शामिल हैं।

हालांकि, यह अधिक भाग्य था क्योंकि क्रिप्टो इंटेलिजेंस प्लेटफ़ॉर्म Security Alliance ने X पर कहा:

“यह बहुत बुरा हो सकता था। एक चुपके से तैनात बैकडोर जो डेवलपर मशीनों को लक्षित करता है और स्थायित्व पर केंद्रित है, कई समय तक रडार से बाहर रह सकता था।”

तब से, कई क्रिप्टो एप्लिकेशन जैसे Aave, Uniswap, Ledger, Jupiter, MetaMask, Phantom, Blast, और अन्य ने अपने उपयोगकर्ताओं को सूचित किया है कि वे npm हमले से सुरक्षित हैं।

हालांकि हमला विफल रहा, यह डेवलपर्स के लिए एक स्पष्ट याद दिलाता है कि अत्यधिक सुरक्षा के लिए उन्हें अपने कोडबेस से परे जाना होगा। यहां तक कि भरोसेमंद और व्यापक रूप से उपयोग किए गए सॉफ़्टवेयर निर्भरताएँ भी कभी भी समझौता हो सकती हैं।

यहां, GitHub और npm जैसी कोडिंग प्लेटफ़ॉर्म को भी व्यापक रूप से उपयोग किए जाने वाले पैकेजों की सुरक्षा सुनिश्चित करने के लिए अधिक करना चाहिए।

“अधिक लोकप्रिय पैकेजों को यह प्रमाणित करने की आवश्यकता होनी चाहिए कि वे विश्वसनीय स्रोत से आए हैं, न कि इंटरनेट पर कहीं से भी यादृच्छिक रूप से।”

– एरिक्सेन

कोड रिपॉज़िटरी का समझौता अंततः डेवलपर्स के लिए अत्यंत विनाशकारी हो सकता है, जो ऐसे घटना के परिणामस्वरूप अपने पूरे प्रोजेक्ट को छोड़ सकते हैं।

यह घटना इस बात का प्रमाण है कि आज का सॉफ़्टवेयर इकोसिस्टम कितना परस्पर जुड़ा और शोषण के प्रति संवेदनशील है। एक ही समझौता किया गया खाता हमलावरों को विशाल पहुंच प्रदान कर सकता है, जिससे विकास प्रक्रिया के हर चरण में उन्नत सप्लाई चेन सुरक्षा उपायों को लागू करना महत्वपूर्ण हो जाता है।

मैलवेयर के तेज़ी से बढ़ते खतरे से सुरक्षा

मैलवेयर खतरों के बढ़ने और हमलों के अधिक उन्नत और लक्षित होने के साथ, उपयोगकर्ताओं के लिए शिक्षित रहना और सभी प्लेटफ़ॉर्म पर सतर्क रहना महत्वपूर्ण है।

दुर्भावनापूर्ण सॉफ़्टवेयर या मैलवेयर वास्तव में साइबर हमलों के सबसे सामान्य प्रकारों में से एक है। यहाँ, हमलावर एक सॉफ़्टवेयर कोड या कंप्यूटर प्रोग्राम विकसित करते हैं जिसका उद्देश्य बिना पीड़ित को पता चले उनके कंप्यूटर तक पहुंच प्राप्त करना या नुकसान पहुंचाना होता है। 

हर साल, दुनिया भर में विभिन्न डिवाइस और ऑपरेटिंग सिस्टम पर अरबों मैलवेयर हमले होते हैं। मैलवेयर का उपयोग करके साइबर अपराधी न केवल डिवाइस बल्कि पूरे एंटरप्राइज़ नेटवर्क को बंधक बनाते हैं।

पीड़ित के डिवाइस तक अनधिकृत पहुंच प्राप्त करके, हमलावर डिजिटल संपत्तियों और संवेदनशील डेटा को चुराते हैं, जिसमें लॉगिन क्रेडेंशियल्स, क्रेडिट कार्ड नंबर, और अन्य मूल्यवान जानकारी शामिल है। मैलवेयर हमले व्यवसायों को अधिक लक्षित कर रहे हैं क्योंकि कंपनियों के पास बड़ी मात्रा में व्यक्तिगत डेटा होता है, जिसे हैकर्स बड़ी रकम की फिरौती के लिए उपयोग कर सकते हैं। 

डेटा दर्शाता है कि 2024 में अधिकांश (59%) संगठनों को इस तरह के हमले का सामना पड़ा। छोटे कंपनियां भी सुरक्षित नहीं हैं, जहाँ 47% को पिछले वर्ष रैनसमवेयर का सामना करना पड़ा। इस दौरान औसत फिरौती भुगतान 500% बढ़कर $2 मिलियन हो गया। 

मैलवेयर हमले से पुनर्प्राप्ति की औसत लागत भी $2.73 मिलियन तक पहुंच गई है। इंटरनेट के सबसे बड़े खतरों में से एक मैलवेयर है, जो विभिन्न रूपों में आता है और कंप्यूटर सिस्टम और उनके उपयोगकर्ताओं को नुकसान पहुंचाने के उद्देश्य से कार्य करता है।

वायरस, रैनसमवेयर, ट्रोजन, वर्म, स्पाइवेयर, एडवेयर, और क्रिप्टो‑जैकिंग सभी विभिन्न प्रकार के मैलवेयर हैं। सभी का उद्देश्य नेटवर्क तक अनधिकृत पहुंच प्राप्त करना या कंप्यूटर सिस्टम को नुकसान पहुंचाना है।

हमलों के मूल कारणों में सबसे बड़ा (32%) कारण है हमलावरों द्वारा कमजोरियों का शोषण, इसके बाद समझौता किए गए क्रेडेंशियल (29%) और फिर दुर्भावनापूर्ण ईमेल (23%)। 

अब, इस लगातार मौजूद खतरे से खुद को कैसे बचाया जाए? पहला और सबसे सरल कदम है हमेशा अपने कंप्यूटर और सॉफ़्टवेयर को अद्यतन रखना। साथ ही, इंटरनेट पर लगभग किसी भी चीज़ पर क्लिक करने से बचना महत्वपूर्ण है। विशेष रूप से एक क्रिप्टो उपयोगकर्ता के रूप में, लिंक के प्रति सतर्क रहें और ऐसी चीज़ें डाउनलोड न करें जिनके बारे में आप निश्चित न हों।

इसी तरह किसी भी ईमेल अटैचमेंट के साथ भी सावधान रहें। संदिग्ध ईमेल खोलने से बचें और फ़ाइल‑शेयरिंग को न्यूनतम रखें। अपने डिवाइस पर एंटीवायरस सॉफ़्टवेयर स्थापित करना समझदारी है।

हालांकि अपरिहार्य है, संगठन भी अपने आप को मैलवेयर हमलों से बचाने के लिए अपनी रक्षा को मजबूत कर सकते हैं। सबसे सरल तरीके हैं मजबूत पासवर्ड, मल्टी‑फ़ैक्टर ऑथेंटिकेशन, और VPN का उपयोग, जिन्हें व्यक्ति भी अधिक प्रभावी रूप से खुद को सुरक्षित रखने के लिए उपयोग कर सकते हैं।

संगठनों को लगातार डिवाइसों की निगरानी करनी चाहिए ताकि संदिग्ध गतिविधियों के संकेत मिलें, कमजोरियों का आकलन करना चाहिए, और पेनिट्रेशन टेस्टिंग करनी चाहिए। नेटवर्क से डिस्कनेक्टेड ड्राइव पर संवेदनशील डेटा का बैकअप रखना, मैलवेयर हमलों से पुनर्प्राप्ति में मदद करेगा।

कर्मचारियों को ऐसे हमलों को बेहतर ढंग से पहचानने और जल्दी प्रतिक्रिया देने के लिए प्रशिक्षित किया जाना चाहिए, जिसमें घटना प्रतिक्रिया योजनाएँ हों और जब मैलवेयर खतरा संदेह हो तो किससे संपर्क करना है, यह पता हो।

ज़ीरो ट्रस्ट नेटवर्क आर्किटेक्चर का उपयोग करके, कंपनियां यह सुनिश्चित कर सकती हैं कि कोई भी व्यक्ति डेटा या संपत्तियों तक पहुंच न पाए जो उसे नहीं चाहिए। ज़ीरो ट्रस्ट में, उपयोगकर्ताओं को कभी भरोसा नहीं किया जाता और हमेशा सत्यापित किया जाता है।

आज के हाइपर‑डिजिटल जीवन में, ये प्रथाएँ व्यक्ति को बढ़ती परस्पर जुड़ी दुनिया के खतरों से सुरक्षित रखने में मदद कर सकती हैं।

दुर्भावनापूर्ण पैकेजों से खुद को बचाने के लिए, सामान्य मैलवेयर सुरक्षा सिफारिशें npm हमलों पर भी लागू होती हैं, लेकिन बेशक, इकोसिस्टम की खुली प्रकृति, छोटे पैकेजों के भारी पुनः उपयोग, और बड़े निर्भरता पेड़ के कारण अतिरिक्त विशिष्ट सावधानियां भी अपनानी चाहिए।

इस गंभीर खतरे से बचने के लिए, आपको हमेशा पैकेज की विश्वसनीयता को दोबारा जांचना चाहिए इससे पहले कि आप इसे स्थापित करें। पैकेज की अखंडता की पुष्टि करने से यह सुनिश्चित होगा कि आपके निर्भरता पेड़ में कोई छेड़छाड़ नहीं हुई है। 

अवैधता के संकेतों की तलाश करते समय, पैकेज के स्रोत और स्वामित्व के अलावा, मेंटेनरों में किए गए किसी भी परिवर्तन की जांच करें। आप यह भी देखना चाहेंगे कि पैकेज क्या करता है और उसकी आवश्यकता क्या है।

ऐसे सुरक्षा टूल्स का उपयोग करें जो निरंतर नए खतरों की निगरानी करते हैं और स्थिति को कम करने के लिए कार्यात्मक सलाह देते हैं। npm ऑडिट चेक को चलाकर प्रोजेक्ट की निर्भरताओं में ज्ञात कमजोरियों की जाँच की जा सकती है। डिप्लॉयमेंट से पहले स्वचालित सुरक्षा स्कैन लागू करने से यह सुनिश्चित होगा कि केवल समीक्षा किए और स्वीकृत कोड ही प्रोडक्शन में जाए।

अब, नवीनतम मैलवेयर हमले से खुद को बचाने के लिए, आपको प्रभावित पैकेजों को उनके सबसे सुरक्षित संस्करणों पर पिन करना चाहिए, इसके लिए package.json में overrides फीचर का उपयोग करें। 

npm audit चलाएँ या सॉफ़्टवेयर कंपोज़िशन एनालिसिस (SCA) टूल्स का उपयोग करके अपनी निर्भरता पेड़ में प्रभावित संस्करणों की जाँच करें। अपने बिल्ड लॉग, डेवलपर वातावरण, और आउटबाउंड ट्रैफ़िक में संदिग्ध गतिविधियों की जाँच करके किसी भी समझौता संकेत (IoC) की निगरानी करें।

साइबर हमलों के खिलाफ लड़ने वाली शीर्ष पाँच कंपनियों की सूची के लिए यहाँ क्लिक करें।

अंतिम विचार: ओपन‑सोर्स निर्भरताओं को सुदृढ़ बनाना

इंटरनेट पर खतरे लगातार बढ़ रहे हैं और अधिक परिष्कृत हो रहे हैं। 

हमलावर नई हमले की विधियों की ओर मुड़ रहे हैं और कम संसाधन वाले प्रोजेक्ट्स को लक्षित कर रहे हैं, इसलिए डेवलपर्स, एंटरप्राइज़ और उपयोगकर्ताओं के लिए यह आवश्यक हो गया है कि वे खतरे के प्रकट होने की प्रतीक्षा न करें, बल्कि सक्रिय उपाय अपनाएँ क्योंकि एक कमजोर कड़ी पूरे सिस्टम को गिरा सकती है। 

उभरते खतरों के बारे में सूचित रहकर और सॉफ़्टवेयर सप्लाई चेन की निरंतर ऑडिट करके, साथ ही खतरों की निगरानी करके हम स्वयं को लगातार विकसित होते साइबर जोखिमों से वास्तव में सुरक्षित रख सकते हैं।

साइबर हमलावरों को भुगतान करने वाली शीर्ष पाँच सार्वजनिक कंपनियों की सूची के लिए यहाँ क्लिक करें।