2026年に入り、npm をはじめとするパッケージレジストリを経由したソフトウェアサプライチェーン攻撃が相次いで発生しております。当社では、こうした脅威に対し、稼働中のアプリケーションの外形的な確認にとどまらず、ソースコードおよび依存関係を対象とした脆弱性診断をご提供しております。本稿では、直近の事例の傾向と、ソースコードを対象とした診断が必要となる理由についてご説明いたします。
相次ぐソフトウェアサプライチェーン攻撃
2026年は、3月の axios、4月から5月にかけての連続的なパッケージ侵害、7月の AsyncAPI、そして8月の keyv をはじめとする複数パッケージの侵害と、npm エコシステムへの攻撃が断続的に発生しております。
8月の事例では、週間ダウンロード数が1億回を超えるパッケージを含む多数のパッケージに、認証情報を窃取する不正なコードが混入されました。影響範囲は直接侵害されたパッケージにとどまらず、それらを依存関係として含む多数のパッケージにも及んでおります。
自社で開発したコードに問題がない場合であっても、依存するライブラリ、さらにその先の依存関係を経由して被害を受け得る点が、この種の攻撃の特徴です。
攻撃の手口
近年の事例で確認されている手口は、概ね次の流れをたどります。
- パッケージの公開に用いる認証情報が、フィッシング等により窃取される
- 攻撃者が正規のパッケージに不正なコードを追加し、新しいバージョンとして公開する
- 利用者が当該バージョンを導入した時点で、インストール時に自動実行されるスクリプトから不正なコードが起動する
- 開発端末や CI/CD 環境に存在するクラウド認証情報、リポジトリのアクセストークン、SSH 鍵などが収集され、外部へ送出される
- 窃取したトークンを用いて、当該開発者が権限を持つ他のパッケージにも同様の改ざんが行われる
特に留意を要するのは5.です。侵害が自己増殖的に広がるため、当初は影響範囲に含まれていなかったパッケージが、後から対象に加わることがあります。
また8月の事例では、改ざんされたパッケージにおいても、ライブラリ本体の機能は正規のまま残されておりました。導入して動作させた場合、表面上は正常に機能いたします。
外形的な確認では検知できない理由
稼働中のアプリケーションに対して外部から実施する診断は、公開されている画面や API に対して不正な入力を試み、その応答から問題の有無を判断する手法です。認証や入力値の検証、アクセス制御の不備など、外部から観測できる範囲の欠陥を検出することに適しております。
一方、前述の混入コードは、外部からのリクエストに応じて動作するものではありません。インストール時やビルド時に、開発環境の内部で完結して動作いたします。アプリケーションの応答を観測する手法では、その存在を確認することができません。
さらに、パッケージの公開経路そのものが侵害された場合、正規の手続を経て公開されたことを示す署名や来歴情報が、改ざん版にも正しく付与されることがあります。配布元の検証のみでは、正規版と改ざん版を判別できない場合がございます。
したがって、何をどのバージョンで使用しているか、依存関係がどこまで及ぶか、導入時および実行時に何が動作するかを、ソースコードと依存関係の定義から確認する必要がございます。
制度面の動向
制度面においても、ソフトウェアの構成を把握し開示することが求められる方向にあります。
欧州連合のサイバーレジリエンス法（CRA）は、2026年9月11日から重大な脆弱性等に関する報告義務が開始され、2027年12月11日に全面適用となる予定です。同法は、デジタル要素を有する製品の製造者に対し、規制当局への SBOM（ソフトウェア部品表）の提供を義務付けております。EU 域内に製品を提供される日本企業も対象となり得ます。
また2026年7月30日には、経済産業省および内閣官房国家サイバー統括室が、SBOM の最小要素に関する国際ガイダンスへ、14か国の当局とともに共同署名いたしました。同ガイダンスでは、コンポーネントの識別子、バージョン、依存関係、ハッシュ値、ライセンスなどが最小要素として整理されております。
自社製品が何によって構成されているかを説明できる状態を整えることは、セキュリティ上の要請にとどまらず、取引および規制対応の要件になりつつあります。
当社のご提供内容
当社では、既存製品のソースコードに対し、以下の観点で診断を実施しております。
- ソースコードに起因する脆弱性の検出（入力値の取り扱い、認証・認可の実装、機微情報の取り扱い、暗号処理の実装など）
- 依存関係の網羅的な把握（直接の依存に加え、間接的な依存関係を含めた構成の洗い出し）
- 既知の脆弱性を含むコンポーネントの特定、および当該箇所が実際に到達し得るかの評価
- 導入時および実行時に自動実行される処理の確認
- SBOM の作成、および継続的な管理方法のご提案
検出結果は、影響範囲と対処の優先度を整理したうえでご報告いたします。すべての指摘に等しく対応することは現実的ではないため、実際に悪用され得るか、悪用された場合の影響は何かという観点から、対応の順序をお示しいたします。
開発・運用と一体でのご支援
当社は、システムの設計・開発から、その後の保守・運用・監視までを一貫してお引き受けしてまいりました。診断を実施して報告書をお渡しするのみではなく、検出された問題の改修、および改修後の再診断まで継続してご支援できる点を特徴としております。
金融・決済領域をはじめとする、停止の許されないシステムの運用に携わってきた経験から、稼働中のシステムに対して現実的に実施可能な対処をご提案いたします。
お問い合わせ
自社製品のソースコードに対する診断をご検討されている場合、依存関係の把握や SBOM の整備に着手されたい場合、また既に実施された診断の範囲に不足をお感じの場合など、現状の確認からご相談を承っております。
お気軽にお問い合わせください。