Npm-атаки стали чаще приводить к компрометации CI/CD и облачных секретов

Эксперты компании «Информзащита» зафиксировали рост запросов на проверку npm-зависимостей: за 5 месяцев 2026 года их число выросло на 42% относительно аналогичного периода 2025 года. При этом бизнес стал действовать на опережение — доля превентивных проверок (до попадания вредоносного кода в production) выросла с 31% до 54%.

В 2026 году целью хакеров все чаще становится не конечное приложение, а сама инфраструктура разработки. Через скрытые npm-зависимости злоумышленники крадут npm-токены, SSH-ключи, облачные credentials и секреты платформ (GitHub Actions, GitLab CI, CircleCI и др.).

Статистика атак на npm-пакеты:

• 61% случаев — код пытался украсть сразу несколько типов секретов;
• 34% случаев — вредонос автоматически публиковал свои новые копии от имени взломанного разработчика;
• 22% случаев — активность маскировалась под обычный сбор телеметрии или операции сборки.

Угроза актуальна для любого бизнеса, использующего автоматизированную доставку кода. Доли обращений распределились так:

• Технологические компании и SaaS — 26%;
• Финансовый сектор — 19%;
• Ритейл и e-commerce — 16%;
• Промышленность и энергетика — 14%;
• Телеком — 11%;
• Логистика — 8%;
• Медиа и EdTech — 6%.

Главная уязвимость компаний — разрыв между скоростью разработки и глубиной контроля. Многие проверяют только подпись и имя пакета, но это не показывает, что код делает при установке. Кроме того, в пайплайнах часто ошибочно используют npm install вместо npm ci, а раннеры CI/CD имеют избыточные права доступа.

Директор Департамента наступательной безопасности компании «Информзащита» Анатолий Песковский отмечает, что во второй половине 2026 года ожидается рост сложных сценариев: компрометации мейнтейнеров и отравления CI/CD-кеша. Обычной проверки подписи скоро будет недостаточно.

Рекомендации по защите:

• Отправлять новые пакеты в карантин на 24–72 часа для анализа их поведения;
• Ограничить доступ раннеров к секретам и разделить контуры сборки и публикации;
• Использовать lock-файлы и команду npm ci вместо npm install;
• Маршрутизировать загрузки через приватный прокси-репозиторий;
• При любом подозрении на взлом сразу менять все связанные токены и ключи.