【ITニュース解説】DuckDB NPM Account Compromised in Continuing Supply Chain Attack

近年、DuckDBというデータベースソフトウェアに関連して、ソフトウェア開発の世界に警鐘を鳴らすセキュリティインシデントが発生した。これは「サプライチェーン攻撃」と呼ばれる手法によるもので、システムエンジニアを目指す上で理解しておくべき非常に重要な事例である。

この事件の核心は、DuckDBプロジェクトが利用していたNPMアカウントが攻撃者によって不正に乗っ取られたことにある。まずNPMとは、Node Package Managerの略称であり、JavaScriptというプログラミング言語で開発を行う際に利用される、世界最大級のソフトウェアエコシステムである。開発者はNPMを通じて、世界中の開発者が作成した便利なプログラム部品、すなわち「パッケージ」を簡単に自分のプロジェクトに導入できる。この仕組みにより、開発者は車輪の再発明を避け、効率的にソフトウェアを構築することが可能になる。攻撃者は、この多くの開発者が信頼して利用する仕組みを悪用した。アカウントを乗っ取った攻撃者は、DuckDBの正規パッケージに見せかけた悪意のあるバージョンを作成し、NPM上に公開したのである。

この攻撃手法は「サプライチェーン攻撃」と呼ばれる。これは、製品が消費者に届くまでの供給網、つまりサプライチェーンの途中の段階を攻撃する考え方をソフトウェア開発に適用したものである。ソフトウェア開発では、多くの外部ライブラリやパッケージを組み合わせて一つのアプリケーションを構築する。この一つ一つの部品が、サプライチェーンにおける部品に相当する。もし、その部品の一つに悪意のあるコードが仕込まれていれば、その部品を信頼して利用した全てのソフトウェアが危険に晒されることになる。今回の事件では、開発者がDuckDBのパッケージをインストールしようとコマンドを実行しただけで、意図せず悪意のあるプログラムも一緒に自身の開発環境にダウンロードしてしまう、という状況が作り出された。

攻撃者が仕込んだプログラムの目的は、開発者のコンピューターから機密情報を盗み出すことにあった。特に狙われたのは「環境変数」と呼ばれるデータである。環境変数とは、プログラムが動作するコンピューターシステム上で、様々な設定値を保存しておくための仕組みだ。ここには、データベースへの接続パスワードや、Amazon Web Services (AWS) のようなクラウドサービスを操作するための認証情報（アクセスキー）といった、非常に重要な情報が保存されていることがある。今回のマルウェアは、開発者のコンピューター内をスキャンし、特にAWSのアクセスキーなどの認証情報を探し出し、それらを密かに外部の攻撃者のサーバーへ送信するように設計されていた。もしこの情報が攻撃者の手に渡れば、攻撃者は開発者になりすましてクラウドサービスに不正にアクセスし、機密データを盗み出したり、システムを破壊したり、あるいは高額なコンピューティングリソースを勝手に利用して金銭的な被害を発生させたりすることが可能になってしまう。

幸いなことに、この悪意のある活動は、ソフトウェアの依存関係を監視するセキュリティ企業によって早期に検知された。直ちにNPMの運営元に通報され、問題の悪意あるパッケージは迅速にリポジトリから削除された。同時に、DuckDBの開発チームもこの事態に素早く対応し、乗っ取られたアカウントのセキュリティを強化すると共に、検証済みの安全な正規パッケージを再公開した。このような関係各所の迅速な連携が、被害の拡大を食い止める上で決定的な役割を果たした。

この事件は、システムエンジニアを目指す者にとって多くの教訓を含んでいる。第一に、オープンソースソフトウェアがもたらす開発効率の向上という恩恵の裏には、常にセキュリティリスクが潜んでいるという事実を認識することの重要性である。第二に、自身が開発するソフトウェアが、どのような外部パッケージに依存しているかを正確に把握し、その安全性を継続的に監視する「依存関係の管理」が不可欠であるということだ。そして最も基本的な対策として、多要素認証（MFA）の徹底が挙げられる。IDとパスワードだけでなく、スマートフォンアプリなどで生成されるワンタイムパスワードなどを組み合わせるMFAを設定していれば、今回のようなアカウント乗っ取りは防げた可能性が極めて高い。この事件は、ソフトウェア開発が単にプログラムコードを書く作業だけでなく、安全な部品を選定し、それらを堅牢に組み上げる「工学」であることを示している。将来システムを構築し、運用する立場になるためには、このようなセキュリティインシデントから学び、自らが関わるシステムをいかにして守るかという視点を常に持ち続けることが求められる。