Dependensi Anda kini menjadi permukaan serangan

Unit 42 dari Palo Alto Networks menggambarkan worm Shai-Hulud, malware yang mereplikasi diri dan mengotomatiskan penyusupan serta penerbitan ulang paket berbahaya, sebagai akhir dari era serangan npm yang sekadar mengganggu dan awal era yang berdampak besar. Lini masa 2026 mereka mencantumkan kampanye pada Maret, April, Mei, Juni, dan Juli.

Polanya konsisten. Kode berbahaya mencuri token npm dan personal access token GitHub dari siapa pun yang memasangnya, lalu memakainya untuk menginfeksi dan menerbitkan ulang paket yang sah, sehingga setiap korban menjadi penyebar. Penyusupan pustaka populer Axios pada Maret 2026 mengikuti model ini, dan pada 1 Juni sedikitnya 32 paket di namespace @redhat-cloud-services disusupi.

Data yang lebih luas sejalan. Laporan 2026 dari ReversingLabs menemukan lonjakan 73 persen paket sumber terbuka berbahaya pada 2025, sebagian besar didorong oleh penyusupan npm dan pengambilalihan pengelola tepercaya, dengan penyerang bergerak melampaui typosquatting sederhana ke otomatisasi build dan platform pengembangan AI.

Titik terlemah sering kali berupa kredensial, bukan bug. Token berumur panjang di laptop atau rahasia CI sudah cukup untuk menerbitkan versi beracun, dan aplikasi Node.js biasa menarik ratusan hingga ribuan dependensi transitif yang tidak pernah diaudit manual.

Responsnya berlapis. Commit lockfile dan pasang dengan npm ci agar build dapat direproduksi. Jalankan instalasi dengan skrip dinonaktifkan bila memungkinkan, karena banyak muatan berbahaya berjalan saat instalasi. Tunggu beberapa hari sebelum mengadopsi versi baru dari paket penting. Gunakan token berumur pendek dan terbatas dengan autentikasi multi-faktor, jauhkan rahasia dari mesin pengembang, dan aktifkan provenance untuk paket yang Anda terbitkan. Tambahkan pemindai yang memblokir paket berbahaya yang sudah diketahui di CI, dan simpan software bill of materials agar Anda dapat cepat menjawab proyek mana yang memuat versi terdampak.