การโจมตีด้วยมัลแวร์ Shai-Hulud npm ไม่ได้ปลอมแปลงการตรวจสอบความปลอดภัย แต่ได้รับการรับรองอย่างถูกต้อง

เมื่อวันอังคารที่ผ่านมาเกิดเหตุการณ์ที่น่าตกใจในโลกของการพัฒนาซอฟต์แวร์ เมื่อผู้โจมตีได้เข้าควบคุมบัญชี GitHub ของนักพัฒนาที่ดูแลไลบรารี keyv ซึ่งเป็นไลบรารีสำหรับจัดเก็บข้อมูลแบบ key-value ที่ npm ให้บริการมากถึง 127 ล้านครั้งต่อสัปดาห์ ภายในเวลาไม่กี่ชั่วโมง เวอร์ชันที่มีมัลแวร์ได้ถูกเผยแพร่บน npm โดยมีการติดตั้งที่สามารถขโมยข้อมูลประจำตัวของผู้ใช้ได้ โดยบริษัทด้านความปลอดภัย Aikido รายงานว่ามีแพ็กเกจที่ถูกโจมตีอย่างน้อย 868 แพ็กเกจจาก 1,381 เวอร์ชัน ซึ่งรวมกันมีการติดตั้งมากกว่า 2 พันล้านครั้งต่อเดือน ตัวเลขนี้ยังคงเพิ่มขึ้นเรื่อยๆ ขณะที่ JFrog ได้ติดตามการโจมตีนี้ไปยังมากกว่า 400 แพ็กเกจและ 1,700 เวอร์ชันที่มีมัลแวร์

สิ่งที่น่ากังวลสำหรับทีมความปลอดภัยไม่ใช่แค่จำนวนการดาวน์โหลด แต่คือเอกสารที่เกี่ยวข้องกับการตรวจสอบความปลอดภัย แพ็กเกจที่มีการโจมตีในครั้งนี้ได้ถูกเผยแพร่ด้วยลายเซ็นที่ถูกต้อง ซึ่งเป็นการรับรองทางดิจิทัลที่อุตสาหกรรมได้สร้างขึ้นเพื่อยืนยันว่าแพ็กเกจนั้นมาจากแหล่งที่อ้างอิงจริงๆ มัลแวร์ดังกล่าวไม่ได้ปลอมแปลงลายเซ็นนั้น แต่ได้รับการรับรองอย่างถูกต้องเหมือนกับการเผยแพร่ที่ถูกต้องตามกฎหมาย ในวันก่อนหน้านี้ CrowdStrike ได้เผยแพร่รายงานการล่าสัตว์ภัยคุกคามประจำปี 2026 และได้คาดการณ์ถึงการโจมตีในลักษณะนี้ไว้ โดยมีการระบุว่า “การโจมตีในห่วงโซ่อุปทานซอฟต์แวร์กำลังพัฒนา” ซึ่งได้ชี้ให้เห็นถึงระบบนิเวศของนักพัฒนาเอง, แพ็กเกจรีจิสทรี, ท่อประสานการพัฒนาอย่างต่อเนื่อง, รีจิสทรีของคอนเทนเนอร์, และส่วนขยายที่นักพัฒนานำเข้าไปในโปรแกรมแก้ไขโค้ดของตน

การโจมตีนี้ได้แสดงให้เห็นถึงความเสี่ยงที่เพิ่มขึ้นในระบบซอฟต์แวร์ โดยเฉพาะอย่างยิ่งในแพ็กเกจ npm ซึ่งมีความเกี่ยวข้องกับ 87% ของภัยคุกคามซอฟต์แวร์ที่เป็นอันตรายที่ CrowdStrike ติดตามในช่วงครึ่งแรกของปี การโจมตีด้วยมัลแวร์ keyv ได้เปลี่ยนการค้นพบนี้ให้กลายเป็นเหตุการณ์จริงภายในเวลาเพียง 24 ชั่วโมง สำหรับ CISO และสถาปนิกด้านความปลอดภัย สองเหตุการณ์นี้ส่งข้อความเดียวกันคือ สัญญาณความเชื่อมั่นที่สร้างขึ้นในห่วงโซ่อุปทานซอฟต์แวร์สามารถถูกตอบสนองโดยผู้โจมตีที่มีบัญชีที่ถูกต้อง และระยะเวลาระหว่างการเปิดเผยและการโจมตีได้ลดลงอย่างมาก