L'hijacking dei pacchetti è un attacco alle supply chain del software in cui un aggressore ottiene il nome di un pacchetto legittimo per pubblicare una versione malevola sotto quell'etichetta attendibile. L'aggressore può rubare un account di manutenzione, sfruttare un errore di pubblicazione o abusare di un percorso di rilascio automatizzato, in modo che il registro accetti un falso aggiornamento come se fosse normale. Poiché i nomi dei pacchetti portano già con sé fiducia, gli sviluppatori a valle e i sistemi di compilazione possono installare la release compromessa senza accorgersene.
Questo è importante perché i gestori di pacchetti fanno spesso parte del percorso di produzione. Un pacchetto hijackato può diffondere malware, rubare segreti o introdurre backdoor nelle applicazioni attraverso normali aggiornamenti delle dipendenze. Le difese includono una forte protezione degli account, credenziali CI/CD a breve durata, permessi di pubblicazione limitati, il pinning dei pacchetti, la revisione delle differenze di rilascio e controlli di provenienza. Anche con la pubblicazione attendibile, i team dovrebbero verificare che il workflow, il repository e il nome del pacchetto siano strettamente collegati, così che solo il manutentore previsto possa pubblicare una release.