El entorno del desarrollo de software se fundamenta en la colaboración abierta, en donde miles de programadores depositan su confianza diariamente en bibliotecas públicas para desarrollar proyectos de manera más rápida. Uno de los repositorios más usados en el mundo para este propósito es NPM (Node Package Manager), una plataforma que permite instalar y compartir paquetes de código para entornos basados en JavaScript y Node.js.
En otras palabras, el NPM funciona como el gestor de paquetes predeterminado para Node.js, un ambiente que facilita la ejecución de JavaScript fuera del navegador. Esta cuneta con más de 2 millones de paquetes en stock y más de 100 mil millones de descargas mensuales, por lo que el NPM resulta útil en proyectos de cualquier tipo, por ejemplo, desde aplicaciones para móviles hasta sistemas de backend para grandes corporaciones.
Además, el NPM permite a los programadores reutilizar código, instalar librerías de manera sencilla y mantener sus proyectos al día. Sin embargo, esta comodidad conlleva el riesgo de confiar en software desarrollado por terceros que muchas veces son desconocidos.
No obstante, el 28 de julio de 2025, un malware logró infiltrarse en los dispositivos de cientos de usuarios a través de un paquete malicioso publicado en NPM. Este paquete, que se presentó como una herramienta inofensiva para mejorar el rendimiento en entornos Node.js, fue descargado más de 1,500 veces en menos de 24 horas.
Lo que lo hacía especialmente peligroso era un script oculto en un archivo (postinstall) que se ejecutaba automáticamente tras la instalación y tenía la función de escanear el sistema en busca de carteras digitales de criptomonedas y transferir inmediatamente los fondos a una dirección externa controlada por los atacantes. Además, el malware era compatible con los principales sistemas operativos: Windows, macOS y Linux.
La rapidez con la que se propagó y la eficiencia de su diseño revelaron que el código había sido generado con la ayuda de inteligencia artificial, lo que le permitió tener un aspecto profesional y pasar desapercibido para muchos desarrolladores que confiaron en su funcionalidad sin sospechar el daño que causaba.
Este caso es significativo no solo por lo que provocó, sino también por la manera en que se desarrolló. Los especialistas en análisis de ciberseguridad han indicado que el código se elaboró con un aspecto profesional, incluyendo estructuras de comentarios, nombres de funciones llamativos e incluso la utilización de emojis.
Estas propiedades son comunes en código generado con herramientas de Inteligencia Artificial generativa y esto presenta una nueva amenaza al un malware ser creado con un lenguaje de programación artificialmente, que puede evadir análisis manuales y parecer totalmente legítimo ante la perspectiva de un revisor.
A continuación, se presentan los elementos que hicieron que el ataque fuera tan efectivo:
Este incidente pone en evidencia las debilidades en la gestión de riesgos de ciberseguridad en entornos colaborativos. Algunas lecciones que se deben considerar:
Las empresas y desarrolladores deben adoptar medidas de seguridad más estrictas en su cadena de suministro de software. Algunas recomendaciones prácticas incluyen:
En conclusión, la automatización y la inteligencia artificial están revolucionando el desarrollo de software, pero también están potenciando a los atacantes como en este caso de malware generado por IA y distribuido a través de NPM. Por esto, es necesario fortalecer los mecanismos de gestión de riesgos de ciberseguridad, no solo a nivel técnico, sino también en términos de cultura de seguridad.
Los desarrolladores deben estar mejor informados, las plataformas deben asumir mayor responsabilidad, y las organizaciones deben establecer políticas claras frente a las dependencias externas.
En Never Off Technology, creemos que una buena práctica de desarrollo comienza con medidas claras para evitar riesgos innecesarios. Por eso, promovemos una cultura donde la gestión de riesgos de ciberseguridad forma parte del flujo de trabajo, ayudando a prevenir incidentes antes de que se conviertan en amenazas reales.
