Un pacchetto simile è una dipendenza il cui nome è scelto per assomigliare a un pacchetto legittimo abbastanza da creare confusione, abuso della fiducia o installazione accidentale. In ecosistemi software come npm, questo può significare che un pacchetto malevolo o indesiderato usa una grafia quasi identica, un ordine delle parole o un richiamo al branding per apparire familiare durante la revisione.
Questo è importante perché gli addetti alla difesa spesso si concentrano sul fatto che un pacchetto sia pubblicato da un nome noto o sul fatto che gli script eseguiti durante l'installazione siano innocui. Un pacchetto simile può superare un controllo rapido e contenere comunque codice rischioso in normali funzioni del modulo o in punti di ingresso esportati. Negli attacchi, l'obiettivo è indurre gli sviluppatori a installare la dipendenza sbagliata o a ereditare la fiducia della libreria reale. In difesa, i team dovrebbero verificare l'identità del pacchetto, confrontare i manutentori e i metadati, esaminare attentamente gli import e ispezionare il comportamento a runtime, non solo gli hook di installazione.