北朝鮮のハッカー集団、オープンソースのサプライチェーンを狙った大規模攻撃の背後にいたとAmazonが指摘

世界中の開発者が利用しているオープンソースソフトウェアライブラリで発生した複数の大規模な侵害事件の背後に、北朝鮮とつながりのあるハッカー集団がいたことが研究者らの調査で明らかになりました。

Amazonは水曜日に公開した報告書の中で、SapphireSleetとして知られる脅威アクターが、Node Package Manager(NPM)リポジトリでホストされている人気のJavaScriptパッケージに対する4件の個別の侵害事件に関与していたと明らかにしました。

Amazonによると、攻撃者はまず2025年3月にtypo-cryptoパッケージを侵害し、その後同年9月には人気のdebugパッケージとchalkパッケージを標的にしました。2026年3月には、同じ攻撃キャンペーンによって、世界で最も広く利用されているJavaScriptライブラリの一つであるaxiosが侵害されたとみられています。axiosは毎週1億回以上ダウンロードされており、無数のWebアプリケーションや企業向けサービスに組み込まれています。

axiosライブラリの侵害についてはセキュリティ研究者らが以前から北朝鮮のハッカーによるものと指摘していましたが、Amazonによれば、それ以前の侵害事件が同一の脅威アクターによるものだと公にリンク付けされたのは今回が初めてだといいます。

3月上旬には、GoogleがaxiosをめぐるNode侵害を、同社がUNC1069として追跡している北朝鮮の脅威アクターの犯行と断定していました。Microsoftも同じ侵害事件を、他社がUNC1069、BlueNoroff、Stardust Chollima、CageyChameleon、Alluring Piscesとして追跡している活動と重複するとしているSapphire Sleetに関連付けています。

Amazonによると、いずれの攻撃においても、ハッカーはまずソフトウェアパッケージの信頼されたメンテナーをソーシャルエンジニアリングによって騙し、その上で悪意あるアップデートを公開することでアクセス権を獲得していました。最新バージョンを自動的にインストールしていた組織は、知らぬ間にマルウェアをダウンロードしてしまう格好になりました。

研究者らはこれまでにも、Sapphire Sleetがソフトウェアの脆弱性ではなくソーシャルエンジニアリングに依存していると指摘しています。同グループの攻撃は、パスワードや暗号資産、個人データの窃取を目的として設計されています。

北朝鮮は、国際的な制裁の中で収入を得るために暗号資産窃取とサイバー攻撃への依存を強めています。過去の報告によれば、同国は2025年に過去最高となる20億ドル以上相当の暗号資産を窃取したとされています。

Amazonは、この攻撃キャンペーンで使用されたマルウェアをOpen Source Vulnerabilitiesデータベースに報告しており、同データベースではMAL-2026-3400として追跡されています。

オープンソースソフトウェアのリポジトリは、金銭目的のハッカーにとってますます魅力的な標的になっている、と同社は述べています。

攻撃者は組織を個別に侵入するのではなく、広く利用されている少数のソフトウェアパッケージを侵害することで、一度に数千もの下流環境へアクセスできる可能性があります。

「広く使われているオープンソースパッケージが攻撃者に侵害されると、そのパッケージに依存するすべての組織が影響を受ける可能性があります」とAmazonの研究者らは述べています。