TanStack NPMサプライチェーン身代金インシデントのインシデントレビュー
本記事は、TanStackのNPMサプライチェーンを標的とした身代金要求インシデントに関する詳細な事後分析を提供します。攻撃者がどのようにしてNPMパッケージの公開を悪用し、サプライチェーンを侵害したか、その手口と影響、およびGrafanaがインシデント対応を通じて学んだ教訓について解説します。
背景メモ
- TanStackはReact Queryなどで知られる人気オープンソースライブラリ群の開発組織。npmはJavaScriptの標準パッケージ管理レジストリで、事実上あらゆるNode.js/フロントエンドプロジェクトが依存している。
- 今回のインシデントは「サプライチェーン攻撃」の一種。TanStackのメンテナーアカウントが何らかの形で乗っ取られ、悪意あるコード（ランサムウェア的挙動）を含んだバージョンがnpmに公開された。それを使ったプロジェクトは感染するリスクがある。
- サプライチェーン攻撃は単一のライブラリ改ざんで何千もの下流プロジェクトに影響が及ぶため、近年特に警戒が高まっている（例：2021年のcolors/faker事件、2024年のxzバックドア）。npmのエコシステムはその構造上、攻撃対象になりやすい。