【ITニュース解説】Largest NPM Compromise in History - Supply Chain Attack

Webアプリケーションやサービスの開発において、多くの開発者が利用する「npm」という仕組みで、史上最大規模ともいえるセキュリティインシデントが発生した。npmは、JavaScriptというプログラミング言語で使われる便利なプログラム部品（パッケージ）を管理し、共有するためのプラットフォームである。今回の事件では、週に合計20億回以上もダウンロードされるほど広く使われている多数のパッケージが、何者かによって悪意のあるコードに書き換えられてしまった。このように、ソフトウェアを構成する部品、つまり開発の連鎖（サプライチェーン）の途中で不正なものが混入し、最終的な製品を利用するユーザーにまで被害が及ぶ攻撃を「サプライチェーン攻撃」と呼ぶ。これは、現代のソフトウェア開発が抱える深刻な課題の一つを示す象徴的な出来事といえる。

この攻撃の標的となったのは、一人の著名な開発者が管理していた複数のパッケージ群だった。具体的には、「chalk」や「debug」といった、多くのWebアプリケーションで当たり前のように利用されている基本的なパッケージが含まれていた。これらのパッケージは、開発者が直接的に自身のプログラムに組み込んでいなくても、利用している別のパッケージが内部で使っているケースが非常に多く、影響範囲は計り知れない。攻撃の発端は、この開発者のnpmアカウントが「フィッシング詐欺」によって乗っ取られたことにある。フィッシング詐欺とは、正規のサービスを装った偽のウェブサイトやメールでユーザーを騙し、IDやパスワードといった重要な情報を盗み出す手口だ。攻撃者はこの手口で開発者のアカウント認証情報を不正に取得し、正規の管理者としてnpmにログインして、公開されているパッケージの中身を悪意のあるプログラム（マルウェア）にすり替えたのである。

パッケージに仕込まれたマルウェアは、主に暗号資産（仮想通貨）を盗み出すことを目的として設計されていた。その手口は非常に巧妙で、段階的に実行される。まず、このマルウェアを含んだパッケージが組み込まれたウェブサイトをユーザーがブラウザで開くと、マルウェアがブラウザの内部で活動を開始する。次に、ブラウザが持つ通信機能や、暗号資産の取引で使われるウォレットとの連携機能（API）の動きを監視し、横取りする「フック」という仕組みを仕掛ける。これにより、マルウェアはユーザーが行うすべての通信や暗号資産ウォレットの操作を盗み見ることが可能になる。そして、通信されるデータの中から、ビットコインやイーサリアムといった暗号資産の送金先を示す「ウォレットアドレス」や送金に関する情報を見つけ出す。ここからがこのマルウェアの最も悪質な部分だ。ユーザーが正当な送金先アドレスを入力して送金手続きを進めても、マルウェアはそれを検知し、裏側でこっそりと攻撃者が管理するウォレットアドレスに書き換えてしまう。さらに巧妙なことに、ユーザーを騙すため、攻撃者は元のアドレスと見た目がよく似たアドレスを用意して差し替える。そのため、ユーザーが画面上で送金先を確認しても、不正に気づくことは極めて難しい。最終的に、ユーザーが取引を承認するために署名を行うと、画面の表示とは裏腹に、実際には攻撃者のウォレットへ資産が送金されるという結果になる。この一連の動作はすべてバックグラウンドで静かに行われるため、被害者は資産が盗まれたことにすぐには気づけない。

幸いなことに、今回のマルウェアは暗号資産の窃取に特化していたため、例えば企業のサーバーに侵入して機密情報を盗んだり、システムを破壊したりするような、より広範で深刻な被害には至らなかったと考えられている。しかし、この事件はソフトウェア開発におけるサプライチェーンの脆弱性を改めて浮き彫りにした。現代のソフトウェアは、ゼロからすべてを作るのではなく、npmなどで公開されている便利なオープンソースのパッケージを組み合わせて構築するのが一般的だ。これは開発効率を飛躍的に向上させる一方で、今回のように、信頼していた部品の一つに悪意のあるコードが仕込まれると、その部品を利用しているすべてのソフトウェア、ひいてはその利用者全員が危険に晒されるというリスクをはらんでいる。システムエンジニアを目指す者にとって、この事件は多くの教訓を与えてくれる。第一に、オープンソースソフトウェアは便利だが、その安全性を無条件に信じてはならないということ。利用するパッケージの出所や評判、脆弱性情報を常に確認する姿勢が求められる。第二に、自身が開発するソフトウェアがどのようなパッケージに依存しているかを正確に把握し、定期的にセキュリティスキャンを行うことの重要性だ。そして最後に、開発者自身のアカウント管理の徹底である。パスワードの強化はもちろん、二要素認証（MFA）のような追加のセキュリティ対策を設定することが不可欠だ。たった一人の開発者のアカウントが乗っ取られるだけで、世界中の無数のシステムとユーザーに影響が及ぶ可能性がある。この事実を重く受け止め、セキュリティに対する高い意識を持つことが、これからのエンジニアには不可欠な資質となるだろう。