攻撃者がソフトウェア更新を公開するアカウントを掌握すると、信頼されたソフトウェア更新がマルウェアの配信システムに変わる可能性がある。
Amazon Threat Intelligenceは、2025年3月から2026年3月にかけて実施された4件のnpmサプライチェーン攻撃を、北朝鮮と関係のある脅威アクター、Sapphire Sleetによるものと関連付けた。コマンド＆コントロールの指標と共通する戦術に基づき、Amazonはこの帰属の確度を中程度と評価した。
この調査結果は、オープンソースプロジェクトを支える人々と認証情報の保護が、コードの脆弱性をスキャンすることと同じくらい重要になり得る理由を示している。
Amazonが4件のnpm攻撃を関連付けた経緯
Axios、Debug、Chalk、typo-cryptoに関わる侵害は、ほぼ1年にわたって、それぞれ独立したセキュリティインシデントとみられていた。
Amazonは現在、コマンド＆コントロールの指標、コードの再利用、インストール後フックなどの共通する戦術が、これらのインシデントを1つのキャンペーンに結び付けていると説明している。このキャンペーンは2025年3月から2026年3月にわたる。こうした証拠に基づき、Amazon Threat Intelligenceはこのキャンペーンを、北朝鮮と関係のある脅威アクター、Sapphire Sleetによるものと中程度の確度で帰属した。
Amazonによると、Axiosの侵害は以前から北朝鮮とつながりのあるアクターによるものと公に帰属されていた。一方、同社によれば、typo-crypto、Debug、Chalkのインシデントは、それ以前には同じグループとの関連付けがなされていなかった。
これらのインシデントを関連付けることで、セキュリティチームは関連する活動を調査し、同じキャンペーンが自社環境にまで及んでいたかどうかを判断するための追加の指標を得られる。
信頼が攻撃対象領域になった
多くのソフトウェアサプライチェーン攻撃とは異なり、Amazonによれば、このキャンペーンは攻撃者がnpmパッケージの未知の脆弱性を発見して悪用するところから始まったのではない。代わりに、攻撃グループは広く利用されているパッケージの保守を担う開発者に狙いを定め、ソーシャルエンジニアリングによってアクセスを得たうえで、正規のアカウントを通じて悪意のある更新を公開したとされる。
この手法によって攻撃者が手に入れたのは、多くのセキュリティ対策では検知が難しいものだった。すなわち、信頼である。
「攻撃者が広く利用されているオープンソースパッケージを侵害すると、そのパッケージに依存するすべての組織が影響を受ける可能性がある」と、Amazonは報告書に記している。
このキャンペーンは、ソフトウェアサプライチェーン攻撃における重要な変化を示している。攻撃者は、パッケージ自体の脆弱性を探す代わりに、パッケージを更新する権限を持つ人々を標的にできる。正規の保守担当者アカウントを通じて公開された悪意のあるリリースは、当初は通常のソフトウェア更新に見える可能性があり、下流のユーザーが侵害に気付きにくくなる。
組織がオープンソースのサプライチェーンリスクを低減する方法
Amazonの報告書は、企業が直面しているより広範な課題を浮き彫りにしている。オープンソースソフトウェアは現代のアプリケーションの中核をなす一方、エコシステムが信頼された保守担当者に依存していることで、攻撃者にはコードの配布を認められた人々やアカウントを狙う機会も生じている。
組織は、オープンソースソフトウェアを全面的に放棄することで対応すべきではない。むしろ、開発チームとセキュリティチームは、依存関係のインベントリを整備し、承認済みパッケージのバージョンを固定し、パッケージの完全性を検証し、予期しない更新を監視し、パッケージの所有権や公開権限の変更を確認することで、さらされるリスクを低減できる。
チームはまた、フィッシング耐性のある多要素認証で開発者アカウントとレジストリアカウントを保護し、本番環境の依存関係を公開できる人を制限すべきだ。Amazonの調査結果は、ソフトウェアサプライチェーンのセキュリティが、コードの脆弱性を見つけることだけでなく、コードの配布を信頼された人物の身元を保護することにも依存していると示している。
関連記事：SAP npmサプライチェーン攻撃、開発者の認証情報を標的には、悪意のあるパッケージを使って開発者とその認証情報を狙った別のキャンペーンを取り上げている。