유명 패키지와 비슷한 이름(react-dom→reactdom)으로 악성 코드 배포.
npm·PyPI·Maven에서 반복 발생. 2024년 ua-parser-js·ctx·phpass 사건. lockfile 감사·scope 사용.