はじめに
2025年9月に発覚したNPMエコシステムの大規模な侵害事件は、サプライチェーン攻撃に対する防御の最前線としてのメールセキュリティに改めて注目を集めています。この事件では、脅威アクターが巧妙なフィッシングキャンペーンを通じて複数の著名なNPM開発者アカウントを侵害し、合計で週に約28億回ダウンロードされる20の人気パッケージに悪意のあるコードを挿入しました。新たな分析では、高度なメール保護機能が、この事件を引き起こした最初の悪意のあるメッセージをいかにして阻止できたかが示されています。
NPM侵害事件の概要
2025年9月8日、脅威アクターはNPMサポートになりすまし、NPM開発者を標的とした高度なフィッシングキャンペーンを実行しました。攻撃は特に開発者Josh Junon（「qix」として知られる）に集中し、彼は「Two-Factor Authentication Update Required」という件名で、なりすましアドレスsupport@npmjs[.]helpから欺瞞的なメールを受け取りました。このメッセージは、受信者の二要素認証設定が古く、直ちに対応が必要であると主張し、迅速に解決しない場合はアカウントが停止されると脅迫するものでした。
この緊急性を煽る文言は効果的でした。Junon氏と少なくとも4人の他のNPM開発者が悪意のあるリンクをクリックし、クローンされたNPMログインページに認証情報を入力してしまいました。
攻撃の手口とマルウェア
攻撃者がこれらのアカウントへのアクセス権を獲得すると、彼らは20の人気NPMパッケージを改ざんし、JavaScriptクリッパーを挿入しました。このマルウェアは、ブラウザやアプリケーションの活動を監視し、仮想通貨ウォレットのやり取りを検出する能力を持っていました。具体的には、Bitcoin (BTC)、Ethereum (ETH)、Solana (SOL)、Tron (TRX)、Litecoin (LTC)、Bitcoin Cash (BCH) のウォレットアドレスを検出し、それらを攻撃者によって制御されるウォレットアドレスに置き換えることで、ユーザーに気づかれることなく仮想通貨の送金を流用することが可能でした。
迅速な修復作業の後、侵害されたパッケージはクリーンなバージョンに戻され、影響を受けた開発者はアカウントの制御を取り戻しました。
メール保護による検出の優位性
Group-IBのBusiness Email Protection (BEP) プラットフォームは、このフィッシングキャンペーンが開発者の受信トレイに到達する前に特定し、ブロックできたであろう機能を示しました。これらのメールは標準的なメール認証プロトコル（SPF、DKIM、DMARC）を通過したにもかかわらず、いくつかの技術的指標がこのキャンペーンを悪意のあるものとしてフラグ付けしたはずです。
- 不正な
npmjs.helpドメインは最近登録されたばかりであり、NPMの公式インフラとは正当な関連性がなく、明確なドメインなりすまし異常を示していました。 - BEPの高度な検出メカニズムは、送信者の行動パターンを分析し、ドメインなりすまし試行を特定し、悪意のある添付ファイルやリンクをリアルタイムで検査します。また、グローバルな脅威インテリジェンスを使用して疑わしい活動を文脈化します。
フィッシングメールには、アカウント停止の緊急の脅威、認証情報収集サイトへ誘導するカスタマイズされた悪意のあるリンク、人間の監視を回避するように設計された文言など、認証情報収集キャンペーンのいくつかの特徴が含まれていました。Business Email Protectionシステムは、これらの行動的および技術的指標を検出することに優れており、正当な組織の通信と矛盾するパターンを示すメッセージにフラグを立てます。
業界への教訓と対策
この事件は、高度な開発エコシステムにおいてさえ、人間要素が攻撃者にとって最も確実な侵入経路であるという重大な脆弱性を浮き彫りにしています。Group-IBは、脅威インテリジェンスプラットフォームを通じて、攻撃者が使用した侵害の痕跡（IoC）、フィッシングインフラの詳細、仮想通貨ウォレット情報を包括的に公開しており、セキュリティチームが検出能力を強化し、関連する脅威に対応できるようにしています。
影響を受けたパッケージが週に約28億回ダウンロードされていたことを考えると、この侵害の潜在的な影響は、侵害された開発者アカウントをはるかに超えていました。組織は、認証プロトコルの検証と行動分析、ドメイン評価チェック、脅威インテリジェンスの統合を組み合わせた多層的なメールセキュリティソリューションを実装することで、同様のリスクを軽減できます。サプライチェーン攻撃が進化し続ける中、メールセキュリティは初期の侵害試行に対する最も費用対効果が高く、影響力のある防御策であり続けています。