オープンソースのサプライチェーン侵害が警鐘を鳴らす

Open-source supply chain breach は、記事の証拠、オブジェクトコンテキスト、イベントリンク、関係コンテキストに基づく公開記録です。

中国とつながりのあるサイバースパイ集団が、人気のオープンソースエディタのアップデートインフラを侵害し、攻撃者が信頼できるサプライチェーンを武器化する手法を示しました。このインシデントは、オープンソースソフトウェアのガバナンスにおけるシステム上の脆弱性を露わにし、世界中の企業や重要システムに影響を及ぼす可能性があります。何が起きたか: 実環境で汚染された信頼コード 2026 年 2 月初旬、サイバーセキュリティ研究者は、サプライチェーン攻撃が人気のオープンソースコーディングアプリを標的にし、その更新プロセスを侵害したことを発見しました。マルウェアは正規の更新メカニズムを通じて配布され、中国とつながりのあるサイバースパイ集団「Lotus Blossom」が 2025 年 6 月から 9 月にかけて、特定のユーザーのシステムにカスタムバックドアをインストールすることを可能にしました。コードエディタの開発元である Notepad++ は、攻撃者がソフトウェアアップデートの公開に使用されるサーバーインフラにアクセスし、トラフィックの一部を悪意のあるドメインにリダイレクトして、汚染されたアップデートを配布したことを確認しました。影響を受けたユーザーの総数は依然として不明ですが、攻撃が広範な配布を避けた選択的な性質から、意図的な標的化戦略が示唆されます。このインシデントを分析したセキュリティ企業 Rapid7

は、バックドアが感染したマシンの対話型制御を可能にし、データ窃取や侵害環境内でのラテラルムーブメントの脅威をもたらすと指摘しました。攻撃にインフラが使用されたホスティングプロバイダーの Hostinger は、Notepad++ と協力して侵害の調査と解決に当たっています。関連記事: Google の AI「Big Sleep」が 5 つのオープンソースのサイバー脅威を発見 関連記事: サプライチェーン攻撃がオープンソースソフトウェアエコシステムの脆弱性を露呈 重要性

このインシデントは、攻撃者が信頼できるコンポーネントに悪意のあるコードを挿入するソフトウェアサプライチェーン攻撃が、グローバルなデジタル経済にとってシステム上のリスクとなっていることを示しています。現代のソフトウェア開発は、オープンソースのライブラリ、フレームワーク、ツールに大きく依存しており、ほとんどのアプリケーションには公開リポジトリからのコンポーネントが含まれています。個々のサーバーを標的とする攻撃とは異なり、サプライチェーンの侵害は、自動化された更新と依存関係のワークフローへの信頼を悪用するため、一つの侵害が何千もの開発者や企業に静かに影響を及ぼす可能性があります。セキュリティ専門家は、迅速な開発に不可欠な自動化と規模が、このような攻撃の影響範囲も拡大するため、より強固な整合性管理とソフトウェアコンポーネントの透明性が必要であると警告しています。ビジネスの観点からは、オープンソースエコシステムのガバナンスの失敗は、重要な IT インフラへの信頼を損ない、これらのツールに依存する企業にとってコンプライアンスコストやリスクプレミアムの増加につながる可能性があります。ソフトウェア部品表（SBOM）や改善された監査の早期採用は、リスクを意識する組織にとって競争上の必須事項となる可能性があります。