La manipolazione del ranking è la pratica di alterare uno store di software o un marketplace per fare in modo che un pacchetto appaia più in alto nei risultati di ricerca, più popolare o più affidabile di quanto lo sia realmente. Gli attaccanti possono gonfiare installazioni, recensioni, clic o altri segnali di visibilità per spingere un pacchetto malevolo davanti agli utenti e agli strumenti automatizzati.
È importante nella sicurezza informatica perché molti difensori e clienti usano il ranking come scorciatoia per valutare l'affidabilità. Se un repository considera la popolarità un segnale di sicurezza, una scheda manipolata può aggirare una revisione attenta e raggiungere più sistemi. Negli attacchi alla supply chain, questa tecnica spesso funziona insieme al typosquatting, ad attività false del publisher o a caricamenti ripetuti che aumentano la visibilità.
Le difese includono il controllo della provenienza, la verifica dell'identità del publisher, la revisione di improvvisi picchi nel ranking e il non fare affidamento solo sulla posizione nello store. I team di sicurezza dovrebbero trattare le metriche di popolarità come prove deboli e combinarle con la revisione del codice, i controlli delle firme e il monitoraggio in runtime.