Amazon Threat Intelligenceは2026年7月29日、2025年3月から2026年3月にかけて相次いだnpmパッケージへのサプライチェーン攻撃4件について、北朝鮮のハッカー集団「SAPPHIRE SLEET」(別名STARDUST CHOLLIMA、BlueNoroffなど)によるものと中程度の確信度で特定したと発表した。侵害されたのはtypo-crypto、debug、chalk、axiosという、週間数千万〜1億ダウンロード級の人気パッケージだ。
半年がかりで築いた「信頼」 #
手口は技術的な脆弱性の悪用ではなく、地道なソーシャルエンジニアリングだった。攻撃者は正規プロジェクトへのコントリビュートやメンテナンス業務を数ヶ月にわたって続け、メンテナからの信頼を獲得したうえで公開権限を得て悪意あるアップデートを配布した。さらに生成AIを使い、説得力のあるドキュメントやもっともらしいコミット履歴を作成していたことも判明している。
週1億DLパッケージが狙われる理由 #
最大の脅威はスケールだ。debugとchalkの侵害では、わずか2時間でクラウド環境の約10%に影響が及んだと推定されている。axiosは週1億回以上ダウンロードされる基幹ライブラリで、CI/CDパイプラインに組み込まれていれば気づかぬうちに侵害コードが本番環境まで到達しかねない。人気OSSパッケージは「間接アクセス」の踏み台として、金銭目的の攻撃者にとって効率のいい標的であり続ける。開発チームにできる防御は、lockfileの固定・依存関係更新前の手動レビュー・SBOM管理といった地道な運用に尽きる。
COMMENTS 0
No comments yet — be the first to leave one.