この問題を報告したのは、セキュリティ研究者のアレックス・ビルサン氏だ。2021年2月10日、ビルサン氏は自身のブログ記事でこの件を公表した他、Tech系サイトの「The Verge」もこの件を取り上げている。

　それにしてもパッケージソフトがハッキングの糸口になるとはどういうことなのか。ここでいう「パッケージ」は、いわゆる市販されている「配布型のパッケージソフト」ではない。

　プログラミング言語や開発環境における「パッケージ」のことで、特定の機能をひとまとめにした「プログラム部品」のことだ。幾つかのパッケージ管理システムが存在し、ソースコードの中で必要に応じてパッケージをインストールすることで特定の機能を呼び出し、作業を簡素化する。

　開発の現場では、リポジトリに格納されているオープンソースのパッケージをダウンロードして利用することもある一方で、特定の企業では内部開発者たちが独自に使うプライベートな内部パッケージを作成してパッケージ管理システムにアップロードし、開発者が共同で利用することもある。

　ビルサン氏は、悪意あるハッカーたちが企業を狙って不正アクセスをするとき、この内部パッケージを狙う可能性がある、と指摘した。企業が利用している内部パッケージを悪意あるソースコードを含んだ公開パッケージに置き換えれば、技術者は自ら不正なコードを含むパッケージを企業のシステムに組み込んでくれる。

　2020年の夏ごろ、ビルサン氏は「PayPal」のサービスに潜んでいる脆弱（ぜいじゃく）性を探していたという。その中で、PayPalの内部仕様を含んだあるNode.jsコードを発見した。Node.jsのパッケージ管理システムであるnpmのリポジトリでホストされていたそのソースコードは、どうやらPayPalが使用している内部パッケージに該当するものらしいとビルサン氏は判断した。

　そして「このPayPalが使用していると思われる内部パッケージが、リポジトリ内で悪意のあるソースコードを含んだ公開パッケージに置き換えたらどうなるか」と考えたのだ。そのパッケージがインストールされたコンピュータの情報を収集するといった「法的に問題ない程度のコード」を追加した公開パッケージを作成して本来の内部パッケージと置き換えてみた。

　ビルサン氏の思惑は成功した。PayPalから特定の情報を入手することに成功したのだ。ビルサン氏は同じパッケージ管理システムを使う他のサービスでも同様の実験をした。すると、AppleやMicrosoft、Netflix、Uberといった名だたる大企業35社においてハッキングに成功した。

　本来、パッケージ管理システムは、たとえファイル名が同一でも公開パッケージが内部パッケージを優先することはあり得ないはずなのだが、ビルサン氏は「特定の引数」を用いることによってこれを可能にしたという。もちろんこの部分の詳細は非公開だ。

　ビルサン氏は各社にこれを通達し、脆弱性発見の報奨金を受け取った。PayPalからは3万ドル、Appleから3万ドル、Microsoftからは4万ドルだ。これらの額は各社の規定の報奨金より高額であり、各社ともに大きな問題として捉えていることが分かる。

　各社の対応を待って本件は公にされたようだが、意外なところに意外な不正アクセス手法が潜んでいるものだ。

上司X：　パッケージソフトを使った不正アクセス手法を見つけたという話だよ。

ブラックピット：　内部パッケージを公開パッケージに置き換えてと。ビルサン氏がホワイトなハッカーで良かったですね。

上司X：　そうだな。こういうホワイトハッカーがいるのはある意味救いだよ。

ブラックピット：　一抹の望み、というとこでしょうかね。しかしこの件を悪意のあるハッカーたちが先に発見していたとしたら、被害は彼が得た報奨金程度では済まなかったことでしょう。

上司X：　報奨金の額もうなずけるってものだ。しかしまあ、各社をハックしてみてその結果を突きつけるんだから説得力があるよな。

ブラックピット：　Birsan氏のような研究者たちって、時に「バグハンター」みたいな呼び方をされることもあるみたいですね。ハンターとして嗅覚に優れているんでしょうね。

上司X：　もちろん技術力も持っているだろうし、ブラックなハッカーにならない理性も持っているんだろうな。ちなみにバグハント専門のサービスも幾つかあるみたいだから、キミも参加して挑戦してみたら？

ブラックピット：　またそんな無理な提案を。

上司X：　ともかくだ、バグハンターがいるぐらい脆弱性は世の中にたくさんあるということで、対策に対策を重ねてもこういう事態が生まれてくる。油断すべからず、ってことだな。