L'acquisizione di pacchetto è una classe di attacco in cui un attaccante ottiene la capacità di pubblicare, sostituire o impersonare release per il nome di un pacchetto legittimo. L'obiettivo non è sempre rubare la password di un maintainer; a volte l'attaccante sfrutta un recupero dell'account debole, la scadenza della proprietà, la confusione dovuta al rinominare del repository o un controllo di fiducia della pubblicazione difettoso per inserire codice malevolo nel normale flusso di aggiornamento.
Questo è importante perché i gestori di pacchetti e i sistemi di build di solito si fidano per impostazione predefinita dei nomi dei pacchetti e degli aggiornamenti di versione. Se una dipendenza popolare viene acquisita, i progetti a valle possono installare la release dell'attaccante come manutenzione ordinaria. I difensori riducono questo rischio usando un'identità del publisher immutabile, provenienza verificata, autenticazione a più fattori, approvazioni delle release, nomi riservati e revisione delle impostazioni di pubblicazione affidata a soggetti fidati. Nella sicurezza della supply chain, l'acquisizione di pacchetto è pericolosa perché un singolo punto di release compromesso può colpire rapidamente molti consumatori.