この記事の要点: GMO Flatt Security株式会社は、ソフトウェアサプライチェーン攻撃の動向をまとめた「ソフトウェアサプライチェーン 脅威レポート 2026」を公開しました。このレポートは、同社のセキュリティAIエージェント「Takumi byGMO」の観測基盤が、2026年2月19日から8月18日までの181日間にわたり、npmやPyPIなどの主要パッケージレジストリを継続的に解析したデータに基づいています。
発表内容のポイント
- 181日間の観測で約3万1,000件の悪性パッケージを検出、攻撃は日常化
- 開発端末への侵入後、SSH秘密鍵やクラウド管理権限などの認証情報を探索
- 対策として公開直後のバージョン使用回避や、導入前ブロックツールの活用を推奨
発表の背景
近年、脆弱性対応のために迅速なソフトウェア更新が求められる一方で、正規パッケージの更新作業中を狙うソフトウェアサプライチェーン攻撃が継続的に発生しています。しかし、報道されるのは利用者の多い著名なパッケージの侵害事例に限られており、日本語で参照できる全体的な侵害実態の情報が不足していました。そこで同社は、日常的な脅威の全体像を可視化するために本レポートを公開しました。
何が発表されたのか
レポートによると、観測期間中に解析した約1,900万件のパッケージのうち、約3万1,000件が悪性と判定されました。悪性パッケージが1件も検出されなかった日はなく、大々的に報道されない小規模な侵害活動が毎日途切れることなく続いています。攻撃者は開発端末に侵入すると、SSH秘密鍵やクラウドの管理権限、パッケージの公開権限などを探索します。公開権限が奪われた場合、別のパッケージに悪性コードが追加され、感染端末が新たな配布元となる連鎖構造が浮き彫りになりました。
製造業・生産管理への見方
製造業においてスマートファクトリー化や生産管理システムのDXが進む中、内製開発や外部ソフトウェアの活用は不可欠となっています。しかし、開発プロセスで利用するオープンソースのパッケージに悪性コードが混入した場合、工場の制御システムや社内ネットワークへの侵入経路になりかねません。特にクラウドの管理権限や認証情報が窃取されると、生産ラインの停止や機密情報の漏洩といった重大な操業リスクに直結します。製造業のIT・セキュリティ部門は、ソフトウェア調達におけるサプライチェーンリスクを「氷山の一角」として捉え、開発環境の防御を強化する必要があります。
現場で確認したいポイント
- 自社の生産管理システムやIoT機器の開発において、外部パッケージの依存関係を把握しているか
- パッケージ導入時に、公開から一定期間が経過するまで取得を待つなどの運用ルールがあるか
- 開発端末やクラウド環境の認証情報（SSH秘密鍵など）の管理・アクセス権限が適切に制限されているか
確認しておきたい点
本レポートは特定の観測期間（2026年2月19日〜8月18日）における主要パッケージレジストリのデータに基づいたものであり、すべてのソフトウェアやプログラミング言語における侵害を網羅しているわけではありません。
関連リンク
- 発表企業サイト：GMO Flatt Securityの公式サイト
- Takumi Guard 機能詳細：悪性パッケージをブロックする機能の紹介ページ
- 発表企業のPR TIMESページ
出典情報
| 出典 | PR TIMES |
|---|---|
| 発表企業 | GMO Flatt Security株式会社 |
| 発表日時 | 2026-09-03 10:00:18 |
| 元記事 | PR TIMESで読む |
