重點整理
- 101 個惡意 npm 套件被下載近 50 萬次，暗中將開發者 WhatsApp 加入廣告群組。
- 攻擊者利用開源專案 Baileys，偷偷追蹤頻道並在媒體檔注入廣告連結。
- 企業應避免使用需綁定個人通訊軟體的第三方套件，並建立開源工具審查機制。
許多企業在推動數位轉型或導入 AI 應用時，為了加快開發速度，工程師通常會使用開源的第三方套件。但您知道嗎？這些看似方便的工具，可能暗藏資安危機。近期資安研究員發現，有超過 100 個惡意 npm 套件（npm 是 JavaScript 程式語言的套件管理平台）在未經同意的情況下，把開發者的 WhatsApp 帳號偷偷拉進廣告群組。這不僅影響開發者的私人通訊，更可能讓企業的專案程式碼暴露在風險之中。了解這類供應鏈攻擊的運作方式，是企業保護數位資產的第一步。
什麼是供應鏈攻擊？惡意套件如何悄悄入侵
所謂的供應鏈攻擊（Supply Chain Attack），是指駭客不直接攻擊目標企業，而是去感染企業常用的第三方工具或開源程式碼，讓企業在不知情下自己把風險帶進系統。
這次的事件被資安界命名為 PhantomSub。研究員發現有 101 個惡意的 npm 套件，總下載次數高達 49 萬次，其中光是最近 30 天就有 11.6 萬次下載。
這些惡意套件濫用了一個名為 Baileys 的 WhatsApp 開源專案。當工程師在專案中安裝這些套件時，惡意程式碼就會在背景悄悄執行，利用開發者已驗證的 WhatsApp 機器人連線，強迫帳號訂閱攻擊者控制的頻道。
PhantomSub 攻擊手法：你的帳號成了免費廣告看板
根據資安公司的分析，這些惡意套件有三種不同的變體。有的是從 GitHub（全球知名的程式碼託管平台）動態讀取頻道 ID，有的是直接把 ID 寫在程式碼裡，甚至還會進行編碼混淆來躲避偵測。
被偷偷加入的 WhatsApp 群組和頻道，大多是來自印尼的小型機器人腳本銷售、遊戲帳號交易或社群媒體衝粉的市場。
更可怕的是，這些惡意套件不僅會把帳號拉群，還會在機器人發送的每一張圖片和影片中，偷偷注入攻擊者的廣告網址。這意味著，開發者的帳號在不知不覺中，成了攻擊者散播垃圾訊息的免費看板。
企業與開發者該如何防範這類資安風險？
面對這種防不勝防的供應鏈攻擊，企業與開發團隊可以採取以下幾個具體行動：
- 檢查帳號狀態：確認公司內部的開發人員是否有被莫名加入陌生的 WhatsApp 群組，若有請立即封鎖並更改密碼。
- 阻擋惡意套件：在公司的開發環境中設定偵測規則，阻擋已知的惡意 npm 套件，並定期更新套件清單。
- 審慎評估第三方工具：盡量避免使用那些要求連接個人 WhatsApp 帳號或需要過度權限的第三方套件，改用企業級的官方 API。
崴米的建議
作為您的數位整合顧問，我們建議企業在追求效率的同時，不要忽視了底層的資安防護：
- 建立第三方工具的審查機制：在導入任何開源套件或自動化工具前，請確保有經過基本的資安掃描與來源確認，不要因為免費或方便就直接使用。
- 選擇有信譽的 AI 整合方案：企業在導入 AI 應用時，與其讓工程師自行拼湊各種來源不明的開源程式碼，不如選擇有專業團隊把關的整合服務。這樣不僅能確保資料安全，還能讓 AI 真正融入您的工作流程，而不是帶來資安破口。
如果您正在規劃將 AI 技術導入企業流程，卻擔心自行開發的資安風險，歡迎了解我們的 AI 應用服務，讓我們用安全、穩定的方式，幫您把 AI 放進網站與工作流程中。
參考來源：101 Malicious npm Packages Add Developers' WhatsApp Accounts to Groups Without Consent
想把這件事交給我們處理？
網站代管維護與主機監看：上線後有人顧：主機代管、憑證、備份、小幅修改，一年一約
