🚨 【懶人包】近年 NPM 十大保安事故
NPM（Node Package Manager）是全球最大的程式套件平台，許多網站和應用都依賴它。但因為大家習慣「直接安裝外掛」，導致駭客常有機可乘。以下是近年十大知名事故：
1️⃣ **event-stream 事件（2018）**
開發者帳號被駭，套件被偷偷植入竊取加密貨幣錢包的程式。
2️⃣ **ua-parser-js（2021）**
超過 1000 萬次下載的套件，被駭客加入挖礦和竊取密碼的惡意程式。
3️⃣ **node-ipc（2022）**
開發者自己在套件中加入「擦除硬碟」程式，造成使用者資料風險。
4️⃣ **colors.js 與 faker.js（2022）**
開發者「惡搞」更新，讓使用者的程式陷入無限迴圈，導致大量網站停擺。
5️⃣ **ctx 與 codecov（2021）**
熱門套件遭帳號竊取，被上傳惡意版本，許多網站連帶受害。
6️⃣ **npm 供應鏈攻擊（多起案例，2020–2023）**
駭客會註冊和熱門套件名字相似的假套件，騙人安裝，藉此竊取資料。
7️⃣ **eslint-scope（2018）**
開發者帳號被盜，套件更新後偷偷收集用戶電腦資訊。
8️⃣ **npm 令牌外洩（2021）**
GitHub 上意外洩露了 npm 的存取憑證，駭客一度能發佈惡意套件。
9️⃣ **electron 裝置相關套件（2019）**
被駭客植入惡意程式，竊取 Windows 與 macOS 使用者的敏感資料。
🔟 **標準維護不足（長期問題）**
許多套件由個人維護，若開發者停止維護或帳號被駭，風險極高。
---
📌 **總結**
以上案例顯示：
- 太依賴外掛，就等於把安全交給陌生人。
- 就算是熱門套件，也可能隨時被竄改。
- 一個小小外掛失守，可能拖垮整個網站。
✅ **我們的優勢**
我們的網站系統是 **完全自行研發**，**不依賴 NPM 或外部套件**，因此能有效避免這類供應鏈攻擊，保障企業網站的穩定與安全。
