投稿によると、ビルサン氏は正規のOSSのパッケージ（拡張機能群）を管理するオンラインのレジストリ（ソースコード保管場所）に偽のソースコードを忍び込ませた。同氏はこの手法により、OSSを利用する企業が、ソフトウェアのアップデート時に本物の代わりに偽物のソースコードをダウンロードするかどうかを検証した。その結果、同氏が正規のものと同じファイル名の付いた偽のソースコードをアップロードするだけで、企業への侵入が実質的に可能であることが分かったという。侵入対象になり得る企業の中には、AppleやMicrosoftなどの大手IT企業も含まれる。

「社内用のパッケージ名」が露呈

　この発見のきっかけは2020年夏、ビルサン氏と共同研究者のジャスティン・ガードナー氏がバグ報奨金獲得目的でオンライン決済サービス「PayPal」への攻撃を試みたことだった。ガードナー氏はソースコード共有サービス「GitHub」で、スクリプト言語「JavaScript」の実行環境「Node.js」の興味深いソースコードを見つけたという。

　「そのソースコードは、PayPal社の従業員が社内で使用することが目的だった」とガードナー氏は考える。そのソースコードが、PayPal社がパッケージのレジストリサービス「npm」に公開しているパブリックパッケージと、社内でホストしているであろうプライベートパッケージを混在状態で参照しているように見えたためだ。PayPal社はそれらのプライベートパッケージの名前を、その時点ではnpmで公開していなかった。

　ガードナー氏はそれらのプライベートパッケージと同じ名前を持つ、悪意あるパッケージをnpmにアップロードし、PayPal社の従業員が本物の代わりに偽のパッケージをインストールするかどうかを試した。その試みは成功し、任意コード実行（侵入先システムの脆弱性を突いて任意のプログラムを実行する攻撃）によって、偽のパッケージをインストール済みのPayPalサーバからデータを盗み出すことができた。

　次にビルサン氏は他のOSSのパッケージでも同じことを試した。具体的には、プログラミング言語「Python」のパッケージレジストリ「PyPI」（Python Package Index）と、プログラミング言語「Ruby」のパッケージレジストリ「RubyGems」にも同じようなパッケージをアップロードした。そしてApple、Microsoft、Tesla、Netflixなどの大企業が社内で開発したプライベートパッケージの名前を探し出した。同氏の投稿によれば、これらの企業が使用しているとみられるプライベートパッケージの名前がGitHubで複数見つかり、「誤って公開されたプライベートパッケージの中や、さまざまなフォーラムサイトの投稿でも見つかった」という。

　ビルサン氏によると、プライベートパッケージの名前が一番よく見つかる場所はJavaScriptファイルだった。開発者がJavaScriptのプロジェクトで利用するパッケージ名を記述したプライベートなpackage.jsonファイル（npmでパッケージを管理するためのファイル）が、ビルド（ソースコードから実行可能ファイルを生成する処理）で公開状態のJavaScriptファイルに埋め込まれるという流れだ。その結果「プライベートパッケージの名前が公開状態になっていることが非常に多かった」（同氏）という。