GMOインターネットグループのGMO Flatt Securityは9月3日、ソフトウェアサプライチェーン攻撃の動向をまとめた調査レポート「ソフトウェアサプライチェーン 脅威レポート 2026」を公開した。
同レポートは、セキュリティAIエージェント「Takumi byGMO」の「Guard」機能（以下、Takumi Guard）の観測基盤が取得したデータに基づく。観測期間は2026年2月19日から8月18日までの181日間で、npm、PyPI、RubyGemsなどの主要パッケージレジストリを継続的に観測した。この期間に悪性と判定したパッケージは約3万1000件に上り、悪性パッケージは毎日発見されたという。
パッケージレジストリとは、ソフトウェアの部品となるプログラムを公開・配布する仕組みで、npmはJavaScript、PyPIはPython、RubyGemsはRubyの開発でそれぞれ広く使われている。開発者はこれらのレジストリから部品を取得して、自らのソフトウェアに組み込む。この配布経路を狙い、利用者の開発環境などへ悪性コードを送り込む手法が、ソフトウェアサプライチェーン攻撃と呼ばれる。
同社は、パッケージレジストリが開発に必須の基盤である一方、攻撃者にとっても好都合な攻撃経路になっていると指摘している。
同レポートは、セキュリティAIエージェント「Takumi byGMO」の「Guard」機能（以下、Takumi Guard）の観測基盤が取得したデータに基づく。観測期間は2026年2月19日から8月18日までの181日間で、npm、PyPI、RubyGemsなどの主要パッケージレジストリを継続的に観測した。この期間に悪性と判定したパッケージは約3万1000件に上り、悪性パッケージは毎日発見されたという。
パッケージレジストリとは、ソフトウェアの部品となるプログラムを公開・配布する仕組みで、npmはJavaScript、PyPIはPython、RubyGemsはRubyの開発でそれぞれ広く使われている。開発者はこれらのレジストリから部品を取得して、自らのソフトウェアに組み込む。この配布経路を狙い、利用者の開発環境などへ悪性コードを送り込む手法が、ソフトウェアサプライチェーン攻撃と呼ばれる。
同社は、パッケージレジストリが開発に必須の基盤である一方、攻撃者にとっても好都合な攻撃経路になっていると指摘している。
「Takumi Guard」はレジストリと開発環境の間に介在するプロキシ
観測基盤を担うTakumi Guardは、パッケージレジストリとエンジニアの開発環境の間に介在するプロキシだ。パッケージのダウンロード時に、悪性の有無をリアルタイムで検証する。悪性と判定されたパッケージは、開発者の端末やCI/CD環境に到達する前に自動でブロックされる。
導入はターミナルで特定のコマンドを1行実行するだけで完了し、既存のコードや作業手順への変更は不要だという。
導入はターミナルで特定のコマンドを1行実行するだけで完了し、既存のコードや作業手順への変更は不要だという。
検査するダウンロード数は1日5000万件を超過
Takumi Guardの利用は直近3カ月で急速に拡大しており、同機能が検査するパッケージダウンロード数は、8月に1日あたり5000万件を超過した。
同社はこの背景として、相次ぐソフトウェアサプライチェーン侵害事案により開発現場の危機感が高まり、悪性パッケージから開発者端末を守る「水際対策」の必要性が広く認識されつつあるとしている。
同社はこの背景として、相次ぐソフトウェアサプライチェーン侵害事案により開発現場の危機感が高まり、悪性パッケージから開発者端末を守る「水際対策」の必要性が広く認識されつつあるとしている。
正規パッケージの更新を狙う侵害が続く
2026年に入って以降、正規パッケージの更新作業を狙う攻撃が相次いでいる。3月には、週間1億回ダウンロードされているソフトウェア「axios」が改ざんされ、利用者がライブラリを更新しただけで侵害される事態が起きた。4月にはパスワードマネージャー「Bitwarden」関連パッケージが被害を受け、4月末から5月にかけては「Mini Shai-Hulud」と呼ばれる連続侵害が二波にわたって発生。第二波では200を超えるパッケージが侵害された。
さらに7月にはAsyncAPIエコシステムの複数パッケージが、8月には週間1億回以上ダウンロードされるキャッシュライブラリ「keyv」などが侵害されている。
同社は、これらはいずれも利用者の多いパッケージであったために報じられた事案で、かつ報道に至らないソフトウェアサプライチェーン侵害がどの程度発生していたかについて、日本語で参照できる情報が限られていたとしている。
本レポートは、外部パッケージを利用する開発現場にとって、自組織の取り込み手順を点検する材料として有用だろう。
詳細は下記URLを参照
https://group.gmo/news/article/10179/
さらに7月にはAsyncAPIエコシステムの複数パッケージが、8月には週間1億回以上ダウンロードされるキャッシュライブラリ「keyv」などが侵害されている。
同社は、これらはいずれも利用者の多いパッケージであったために報じられた事案で、かつ報道に至らないソフトウェアサプライチェーン侵害がどの程度発生していたかについて、日本語で参照できる情報が限られていたとしている。
本レポートは、外部パッケージを利用する開発現場にとって、自組織の取り込み手順を点検する材料として有用だろう。
詳細は下記URLを参照
https://group.gmo/news/article/10179/
i4U編集部
i4U（アイ・フォー・ユー）は、新しい「情報」と「感動」と「笑顔」をお届けする、GMOインターネットグループのオウンドメディアです。有名メディアでの執筆・編集経験者による記事をお楽しみください。
-
1
「ヤバい住所」を集め続けた地図エンジニアが見つけた共通点とは？『ヤ...
-
2
ノンフライヤーで「業スー揚げ物」の限界に迫る！業スーの冷凍フライの...
-
3
小学生がどハマりする生成AIキャラクター「イタリアンブレインロット...
-
4
お台場発着に決定！日本でも“豪華客船体験”ができる？「ディズニーク...
-
5
「たこ焼き器」で作る“たこ焼き以外レシピ”は予想以上においしくて楽しい
-
GMO AIR、人型ロボットの安全運用をトータル支援する「GMO SAFE」を提供開始
-
なりすましメールを遮断できる金融機関は約4分の1──銀行・信金386行ドメイン実態レポート
-
サイバー防衛の主役はAI、人間は「審判」へ──『サイバー空間の地政学』著者・奥野史一氏に聞く未来予想図
-
DEF CON 34 CTF Finalsで世界1位、GMOインターネットグループのホワイトハッカー参加の「Blue Water」
-
グループ企業の「最も弱い1社」が狙われる時代に——GMOトラスト・ログイン、親会社の認証設定をグループ企業へ展開できる新機能
-
GMOサイバーセキュリティ by イエラエ、自治体向け侵入テストの専用パッケージを提供開始
セキュリティキャンペーンでのバナー
-
1
「ヤバい住所」を集め続けた地図エンジニアが見つけた共通点とは？『ヤバい日本の住所』著者が明かす執筆の裏側
-
2
ノンフライヤーで「業スー揚げ物」の限界に迫る！業スーの冷凍フライの逸品5選
-
3
小学生がどハマりする生成AIキャラクター「イタリアンブレインロット」の中毒性と拡散力
-
4
お台場発着に決定！日本でも“豪華客船体験”ができる？「ディズニークルーズライン」の価格・アトラクション最新情報
-
5
「たこ焼き器」で作る“たこ焼き以外レシピ”は予想以上においしくて楽しい