あなたは優れたWeb3開発者です。ある日、ソーシャルプラットフォームに次のようなメッセージが届きました——大手の企業が採用活動を行っているとのこと。魅力的なポジションと待遇に惹かれ、相手はすぐに圧縮ファイルを送ってきました。それは「面接のためのコードベース」だと言います。

あなたは深く考えず、指を一打ちして、npm installを実行しました。

その一瞬の間に、あなたは「感染」してしまったのです。あなたのログイン認証情報、ブラウザのデータ、そして資産を保管している暗号化ウォレットの秘密鍵までもがパッケージ化されて、闇のサーバーに送信されてしまいました。仕事が台無しになるのは小さな問題で、本当のトラブルは——あなたが他人の自動引き出し機になってしまったことです。

この手口は「感染面接」（Contagious Interview）と呼ばれています。SFのように聞こえますが、実際に起きていることです。セキュリティ研究チームの最新レポートによると、すでに300以上の悪意のあるコードパッケージがnpmにアップロードされているとのことです——これは世界中の数百万の開発者にコードのブロックを提供する中心的なハブです。

背後にいる黒幕は、特定の国のハッカー集団を指しています。国際舞台でしばしば無視される国ですが、トップクラスのサイバー戦争能力を持っています。この対比は非常に興味深いものです。

なぜnpmというプラットフォームがこのような被害の中心になっているのでしょうか？要するに、これはまるでオープンな巨大図書館のようなものです——誰でもコードパッケージをアップロードでき、世界中のプログラマーがそれをダウンロードして使うことができるのです。便利さとリスクは常に表裏一体です。そして、ハッカーたちがこの仕組みを狙い、悪意のあるコードを含む「積み木」をパッケージ化してアップロードしたとき、ダウンロード側は防ぎきれません。特に、問題解決を急ぎ、コードの一行一行を確認する時間のない開発者ほど、被害に遭いやすくなります。