npm、高影響力アカウント向けの予防的保護機能を追加
本文の状態
日本語全文を表示中
詳細モードで約2分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
GitHub Changelog
npm は、レジストリ上で最も広く使用されるパッケージを管理する高影響力アカウントにおいて、メール変更や2FA回復コードの使用を検知した場合、72 時間の読み取り専用状態に設定し、前メールアドレスへアラートを通知することで、アカウント乗っ取り攻撃を防ぐ予防的保護機能を導入した。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
npm は現在、レジストリ上で最も広く使用されているパッケージを担当する高インパクトアカウントにおいて、機密性の高いアカウント変更が検出された際に、一時的な予防的保護措置を講じています。これにより、アカウント乗っ取り攻撃に対する防御力が強化されます。
高インパクトアカウントのメールアドレスの変更や 2FA（二要素認証）回復コードの使用が行われた場合、そのアカウントは 72 時間の読み取り専用状態に置かれ、アカウントの以前のメールアドレスへアラートが送信されます。これは、最近のサプライチェーン攻撃で悪用された攻撃経路を塞ぐものです：乗っ取られたアカウントがメールアドレスを変更し、新しいトークンを発行して悪意のあるバージョンを公開するという手口です。
読み取り専用期間中も、パッケージのインストールやダウンロード、組織およびチームの表示、アカウント設定やパッケージ設定の閲覧は引き続き可能です。
レジストリやアカウントのセキュリティに影響を与える可能性のあるアクション（パブリッシング、トークンの管理、パッケージの可視性変更、組織やチームメンバーシップの変更など）は、保護措置が解除されるまで一時停止されます。
完全なアクセス権を回復するために特別な操作は不要です。アカウントは 72 時間後に自動的に通常状態に戻り、再確認の手順も必要ありません。また、依存しているすべてのユーザーにとってパッケージは引き続き完全に利用可能であり続けます。
予期せぬ影響を受けたと判断される場合や、読み取り専用期間中に支援が必要な場合は、npm サポートまでお問い合わせください。
原文を表示
npm now adds a temporary, preventive safeguard for high-impact accounts—those responsible for the registry’s most widely used packages—whenever it detects a sensitive account change, strengthening protection against account-takeover attacks.
When a high-impact account changes its email or uses a 2FA recovery code, the account is placed into a 72-hour read-only state and an alert is sent to the account’s previous email address. This closes an attack vector that recent supply chain attacks have exploited: a compromised account changes its email, mints a new token, and publishes malicious versions.
During the read-only period, you can still install and download packages, view your organizations and teams, and browse account and package settings.
Actions that could affect the registry or the account’s security—such as publishing, managing tokens, changing package visibility, or modifying org and team membership—are paused until the safeguard lifts.
No action is needed to restore full access: the account returns to normal automatically after 72 hours, with no re-confirmation step. Packages stay fully available to everyone who depends on them throughout.
If you believe your account was affected unexpectedly or you need assistance during a read-only period, contact npm Support.
The post npm adds preventive account protection for high-impact accounts appeared first on The GitHub Blog.
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み