Socketは2026年4月3日、Axiosの侵害が単発事案ではなく、高影響のNode.jsメンテナーを狙った組織的なソーシャルエンジニアリング攻撃の一部だったとする調査レポートを公開しました。レポートでは、npmエコシステムの中核を担う複数のメンテナーやNode.jsコア関係者が、同じ攻撃キャンペーンの標的になっていたと説明しています。Axiosの事後報告でも、リードメンテナーの端末が標的型ソーシャルエンジニアリングとRATによって侵害され、不正公開につながったとされています。
関連：Axiosへのサプライチェーン サイバー攻撃はどう起きたのか-メンテナーアカウント侵害から見る不正公開の手口
目次
Axios以外のメンテナーへ標的型攻撃
Socketによると、標的になったのはAxiosメンテナーだけではありません。
- WebTorrentやStandardJS、bufferなどを手がけるFeross Aboukhadijeh、
- ECMAScript系polyfillで広く知られるJordan Harband、
- LodashのJohn-David Dalton、
- ExpressやNode Package Maintenance Working Groupに関わるWes Todd、
- FastifyやPino、UndiciのMatteo Collina、
- dotenvのScott Motte、
- Node.js core collaboratorのUlises Gascón、
- mochaなどのPelle Wessman、
- Expressにも関わるJean Burellierらが、
同じキャンペーンに狙われたと報告されています。Socketは、Axiosだけを狙った一点攻撃ではなく、高信頼かつ高影響のメンテナー層を横断的に狙う拡張可能な作戦だったと位置づけています。
とくに重いのは、Node.jsコアや主要ライブラリに近い人物まで標的に含まれていた点です。
Socketは、これらのメンテナーが維持するパッケージ群は月間または年間で数十億規模のダウンロードに達すると説明しており、攻撃者が個別の被害者ではなく、信頼の集中点を狙っていたことが分かります。公開権限を持つメンテナーのアカウントや端末は、そのままnpmへの書き込み経路になり得ます。
攻撃の手口
Socketのレポートでは、攻撃の流れはかなり一貫しています。
まず攻撃者は、Openfortを名乗る人物など、実在企業らしく見えるペルソナを使ってLinkedInやSlackで接触します。
すぐに不審なリンクを送るのではなく、業務連絡や協業、ポッドキャスト出演、面談調整といった自然な文脈で関係を築き、数日から数週間単位で警戒心を下げていきます。
Axios事後報告でも、ソーシャルエンジニアリングの接触は不正版公開のおよそ2週間前から始まっていたとされています。
その後、攻撃者は会議リンクを送りますが、ここにも特徴があります。
Jean Burellierの事例では、会議リンクはカレンダー招待には含まれず、会議開始のわずか5分前にSlack経由で送られました。見た目はMicrosoft Teamsに見えるものの、
実際には teams.onlivemeet.com のような偽装ドメインへ転送される仕組みでした。Pelle Wessmanのケースでは、ポッドキャスト収録を装って偽の配信サービスへ誘導し、技術的にもっともらしいエラーを表示してネイティブアプリのインストールを促していました。
偽会議の場面では、最初から悪意あるファイルを押しつけるのではなく、音声トラブルや更新エラーを装って被害者に自ら操作させる流れが使われます。
Socketは、通話画面はZoomやMicrosoft Teamsの実際のSDKやCSSを使って本物らしく再現されており、被害者が違和感を持ちにくいよう設計されていたと説明しています。Wessmanがインストールを断った際には、攻撃者は最後にターミナルでcurlコマンドを実行させようとし、失敗すると会話を削除して痕跡を消したとされています。
端末侵害の後に何が起きるのか
Socketは、こうした偽会議やトラブルシューティング誘導の先にあるのは、被害者端末へのRAT導入だと説明しています。
いったんRATが入ると、攻撃者は端末上のポスト認証状態をそのまま奪えるため、2要素認証は実質的な防波堤になりません。.npmrc に保存されたトークン、ブラウザのセッションクッキー、AWS認証情報、キーチェーンの内容などが窃取対象になり、追加の認証突破なしにnpm公開や他サービス操作が可能になります。
Axios侵害は、その典型例として読むべきです。Axiosの事後報告では、攻撃者はリードメンテナーの端末を侵害したうえでnpmアカウント認証情報に到達し、不正な [email protected] を依存関係として注入した [email protected] と 0.30.4 を公開しました。さらに、コミュニティが投稿した警告Issueまで、侵害済みアカウントを使って削除していました。つまり、端末侵害は単なる情報窃取で終わらず、そのまま供給網の実害へ直結しています。
UNC1069(北朝鮮ハッカーグループ)とのつながり
Socketは、このNode.jsメンテナー狙いのキャンペーンを、MandiantがUNC1069として追跡している北朝鮮系脅威アクターの手口と結びつけています。
Mandiantの2026年2月レポートでは、UNC1069は少なくとも2018年から活動する金銭目的のアクターで、暗号資産企業やDeFi、ソフトウェア開発者、ベンチャーキャピタルを標的にしてきたとされています。そこでは、侵害済みTelegramアカウント、偽Zoom会議、ClickFix感染、AI生成動画の利用といった今回とよく似た手口が確認されています。
Mandiantは、UNC1069の侵入でWAVESHAPER、HYPERCALL、SILENCELIFT、DEEPBREATH、CHROMEPUSHなど複数のマルウェアファミリーを確認しており、単なる初期侵入ではなく、資格情報窃取、ブラウザデータ窃取、持続的遠隔操作までを視野に入れた多段階侵害だと説明しています。Socketは、この既知のプレイブックが暗号資産分野からオープンソースメンテナーへ向けられ始めたと評価しています。
なぜ今、オープンソースメンテナーなのか
Socketのレポートが示しているのは、攻撃者が狙う対象を 個人の資産 から ソフトウェア供給網の入口 へ広げていることです。Mandiantが説明するUNC1069は従来、暗号資産やWeb3分野での金銭獲得を主眼に活動してきましたが、Socketは、高影響のnpmメンテナーを落とせば、何百万もの開発者やCI/CD環境へ一気に到達できるため、戦略として非常に合理的だと指摘しています。短時間でも不正パッケージが公開されれば、自動依存解決を通じて被害が急速に拡大します。
この観点では、攻撃者の真の目的はnpmアカウントそのものではなく、その先にある信頼の連鎖です。公開権限を持つメンテナーの端末は、レジストリ、クラウド資格情報、ソースコード管理、社内チャット、ブラウザセッションが集まる場所でもあります。ひとたびそこが落ちれば、供給網攻撃だけでなく、追加の横展開や別組織へのなりすましにも使えます。
2FAやOIDCだけでは止めにくい理由
Socketは、Wes Toddの見解として、OIDCベースの公開は公開衛生として重要な改善ではあるものの、端末そのものが完全に侵害された場合の万能薬ではないと紹介しています。これはAxiosの事後報告とも整合しており、同報告でも今後の対策としてOIDC導入とイミュータブルなリリース体制が挙げられていますが、同時に全端末のワイプと全認証情報のリセットが必要になっていました。つまり、公開フローの強化は必要でも、端末侵害を防げなければ決定打にはなりません。
今回のレポートが示す本質は、認証強化だけではなく、メンテナー個人の業務導線そのものが攻撃面になっていることです。Slack、LinkedIn、カレンダー招待、会議URL、ブラウザ上の会議画面、ターミナルでのトラブルシューティング指示といった日常業務の流れ全体が武器化されています。情シスやセキュリティ部門は、レジストリ防御だけでなく、人がだまされる前提の運用設計に視野を広げる必要があります。
情報システム部門が押さえるべきポイント
企業がまず認識すべきなのは、OSSメンテナー向けの攻撃が、もはや個人レベルの特殊事案ではないことです。Socketのレポートでは、同一キャンペーンがNode.jsエコシステム全体で横展開されており、複数の著名メンテナーが独立に同様の接触を受けていました。つまり、自社で利用する依存パッケージが安全かどうかは、コードレビューや脆弱性スキャンだけでは把握しきれず、その背後にいるメンテナーの公開環境や個人端末の安全性にも影響されます。
実務上は、メンテナー本人だけでなく、自社開発者にも同種の誘導が来る前提で教育と制御を組む必要があります。会議開始直前にだけ送られてくるリンク、見た目が正規サービスに酷似した会議画面、音声不具合を口実にしたインストールやターミナル実行の要求は、いずれも強い危険信号です。加えて、依存パッケージのlockfile管理、公開権限の最小化、端末からレジストリやクラウドへ広がる権限の棚卸し、CI/CDのシークレット分離を進めない限り、被害は一人の端末から供給網全体へ波及します。
出典
Attackers Are Hunting High-Impact Node.js Maintainers in a Coordinated Social Engineering Campaign
関連記事
北朝鮮系ハッカーがAxiosのnpmパッケージを汚染させサプライチェーン 攻撃を実行
【2026年】サイバー攻撃・情報漏洩の最新 事例
日仏レアアース共同調達協定とは？脱中国依存を決定づける「Caremag」と日本経済への波及効果
【インタビュー】auじぶん銀行が挑んだ「振込×AI」の挑戦
米国企業を狙うロシア人「イニシャルアクセスブローカー」に禁錮81カ月の実刑判決-ランサムウェア 被害 総額は36億円超に
Axiosへのサプライチェーン サイバー攻撃はどう起きたのか-メンテナーアカウント侵害から見る不正公開の手口
穴吹興産、ランサムウェアで顧客や役職者等の個人情報漏洩の恐れ、Qilinが犯行を主張
欧州委員会のサイト基盤環境へサイバー攻撃 ハッカーグループは不正アクセスで350GB超の情報 窃取を主張
EDRとは?意味やウイルスソフトやUTMとの違いを解説
