September 2025 NPM Attack Hit 2.6B Weekly Downloads. Most Found Out on Twitter
2025年9月、NPM（Node Package Manager）エコシステムを標的とした大規模なサプライチェーン攻撃が発生し、週間ダウンロード数26億回に影響を及ぼした。多くの開発者がこの攻撃をTwitter（現X）で初めて知ったことから、公式のセキュリティ通知体制の課題が浮き彫りになった。
背景メモ
- npm（Node Package Manager）は、JavaScript開発者向けの世界最大のパッケージレジストリ。2025年9月に発生したサプライチェーン攻撃では、悪意のあるパッケージ群が総計で週間26億回ものダウンロード数を記録し、npm史上最大級の被害規模となった。
- この攻撃は「依存関係混乱（dependency confusion）」と呼ばれる手法を悪用。プライベート（非公開）パッケージと同じ名前の悪意あるパッケージをパブリックレジストリに公開し、内部システムが誤ってそちらをダウンロードするよう仕向ける。
- 特筆すべきは、攻撃の発覚経路。公式のnpmセキュリティチームではなく、インフルエンサーやセキュリティ研究者によるX（旧Twitter）への投稿がきっかけで広く認知された。npmとGitHubを傘に持つMicrosoftのインシデント対応プロセスに対する信頼性や透明性への疑問を提起している。
- 本事件は、2024年に話題になったxz utilsバックドア事件や、2023年のPyPI・RubyGemsへの類似攻撃と並び、オープンソースエコシステム全体のサプライチェーンリスク管理体制が依然として脆弱であることを改めて浮き彫りにした。