アマゾン、4件のnpmサプライチェーン攻撃を北朝鮮の「Sapphire Sleet」に関連付け

信頼されたソフトウェアアップデートも、それを公開するアカウントを攻撃者に乗っ取られれば、マルウェア配布システムと化してしまいます。

Amazon Threat Intelligenceは、2025年3月から2026年3月にかけて実行された4件のnpmサプライチェーン攻撃を、北朝鮮と関連のある脅威アクター「Sapphire Sleet」に関連付けました。コマンド&コントロール（C2）の痕跡や共通する手口に基づき、アマゾンは中程度の確度でこの帰属評価を行っています。

今回の調査結果は、オープンソースプロジェクトを支える「人」と「認証情報」を守ることが、コードの脆弱性スキャンと同じくらい重要である理由を示しています。

アマゾンが4件のnpm攻撃をどう結び付けたか

Axios、Debug、Chalk、そしてtypo-cryptoに関わる侵害は、1年近くにわたり、それぞれ独立したセキュリティインシデントに見えていました。

しかしアマゾンによると、C2の痕跡、コードの再利用、post-installフックといった共通の手口が、2025年3月から2026年3月にまたがるこれらのインシデントを1つのキャンペーンとして結び付けていることが判明したといいます。この証拠に基づき、Amazon Threat Intelligenceはこのキャンペーンを、北朝鮮と関連する脅威アクターSapphire Sleetによるものと、中程度の確度で帰属評価しました。

アマゾンによれば、Axiosの侵害についてはこれまでも北朝鮮関連アクターの犯行であると公に指摘されていました。しかし同社は、typo-crypto、Debug、Chalkの各インシデントについては、これまで同一グループとの関連付けがなされていなかったとしています。

これらのインシデントを結び付けたことで、セキュリティチームは関連する活動を調査し、同じキャンペーンが自組織の環境にまで及んでいないかを判断するための、新たな手がかりを得られるようになりました。

「信頼」が攻撃対象に

多くのソフトウェアサプライチェーン攻撃とは異なり、アマゾンによればこのキャンペーンは、攻撃者がnpmパッケージの未知の欠陥を発見・悪用するところから始まったものではありません。その代わりにこのグループは、広く使われているパッケージの保守を担う開発者たちに狙いを定め、ソーシャルエンジニアリングによってアクセス権を obtain した上で、正規のアカウントを通じて悪意あるアップデートを公開していたと報告されています。

このアプローチによって攻撃者は、多くのセキュリティ対策が検知に苦戦するもの、すなわち「信頼」を手に入れました。

アマゾンはレポートの中で次のように述べています。「広く使われているオープンソースパッケージが攻撃者に侵害されると、そのパッケージに依存するすべての組織が影響を受ける可能性があります」

今回のキャンペーンは、ソフトウェアサプライチェーン攻撃における重要な変化を浮き彫りにしています。攻撃者はパッケージ自体の脆弱性を探す代わりに、そのアップデート権限を持つ人物を標的にできるのです。正規のメンテナーアカウントを通じて公開された悪意あるリリースは、一見すると通常のソフトウェアアップデートと変わらないため、利用者側が侵害に気付くのはより困難になります。

組織はオープンソースのサプライチェーンリスクをどう低減できるか

アマゾンのレポートは、企業が直面するより広範な課題を映し出しています。オープンソースソフトウェアは現代のアプリケーションの中核をなす要素ですが、このエコシステムが信頼されたメンテナーに依存していることは、コードを配布する権限を持つ人物やアカウントを攻撃者が狙う機会にもなっています。

組織はこれを理由にオープンソースソフトウェアの利用を全面的にやめるべきではありません。その代わりに、開発チームとセキュリティチームは、依存関係のインベントリを維持し、承認済みパッケージのバージョンを固定し、パッケージの整合性を検証し、想定外のアップデートを監視し、パッケージの所有権や公開権限の変更を確認することで、リスクを低減できます。

また、開発者アカウントやレジストリアカウントをフィッシング耐性のある多要素認証で保護し、本番環境の依存関係を公開できる人物を制限すべきです。アマゾンの今回の調査結果は、ソフトウェアサプライチェーンのセキュリティが、コードの脆弱性を見つけることだけでなく、コードの配布を任されたID(アイデンティティ)を保護することにも懸かっていることを示しています。

関連記事: SAPのnpmサプライチェーン攻撃、開発者の認証情報を標的にでは、悪意あるパッケージを使って開発者とその認証情報を狙った別のキャンペーンを取り上げています。