Invadindo sua infraestrutura de fora para dentro com ataques de confusão de dependências do npm

O que acontece quando você administra incorretamente seu registro de pacotes privados, seus desenvolvedores configuram errado o proxy local do npm e agentes mal-intencionados podem explorar livremente um ecossistema de código aberto? Isso se chama confusão de dependências (Dependency Confusion) e é um tipo de ataque que permitiu que pesquisadores de segurança invadissem grandes empresas. Você não quer ser a próxima vítima nas manchetes, certo? Vou mostrar, passo a passo, como esse ataque acontece e como você pode se proteger.