Miasmaキャンペーン、20以上のNPMパッケージを汚染し開発者の機密情報を狙う
「Miasma」と名付けられたサプライチェーン攻撃キャンペーンにより、20以上の悪意あるNPMパッケージが公開され、開発者のシークレットや認証情報を狙っています。攻撃者は正規パッケージになりすまし、コード実行時に機密情報を外部サーバーに送信する仕組みを仕込んでいます。
背景メモ
- NPM（Node Package Manager）は、JavaScript／Node.js向けの世界最大級のパッケージレジストリ。開発者は自作コードに外部ライブラリを数行で追加できるが、その手軽さゆえに悪意あるパッケージが潜り込みやすい構造でもある。
- 「Miasma（瘴気）」と呼ばれる今回のサプライチェーン攻撃では、20以上のNPMパッケージが改ざんされた。攻撃者は正規パッケージに似せたタイポスクワッティング（typosquatting：入力ミスを悪用する手口）や、既存の人気パッケージに悪質なコードを埋め込む方法を使ったとみられる。
- 目的は、環境変数や設定ファイル、CI/CD（継続的インテグレーション／継続的デリバリー）の認証情報など「開発者シークレット」を盗むこと。開発環境を踏み台に、その先の本番システムやクラウド基盤へ侵入する狙いがある。
- ソフトウェアのサプライチェーン攻撃は近年急増しており、2024年には「xz utils」のバックドア事件などが業界全体に衝撃を与えた。Miasmaはその流れをくむ、より標的を絞った攻撃といえる。