サプライチェーンセキュリティの転換期：2025年の事例をもとに考察

2025年に発生したサプライチェーン攻撃は、オープンソースエコシステムやクラウドプラットフォーム、重要インフラにおける信頼関係を脅威アクターが悪用することで、その規模と精度を高めました。国家と連携したグループやサイバー犯罪者も同様に、特定の開発者を狙った侵害やCI/CDの操作、ソーシャルエンジニアリングによる下流環境へのアクセスという方向に活動を転換しています。しかし、サプライチェーンに関するインシデントは必ずしもサイバー攻撃に起因するものではなく、Amazon Web Services（AWS）やCloudflareを発端とする大規模障害もサプライチェーンに多くの混乱を招いています。このような傾向はグローバルサプライチェーンの脆弱さがますます深刻化していることを浮き彫りにしており、汚染パッケージやベンダーの侵害、クラウドの設定ミスがどれか1つでも存在するだけで、広範囲にわたる業務の混乱を招きかねないことを意味しています。

*本記事は、弊社マキナレコードが提携する英Silobreaker社のブログ記事（2025年12月17日付）を翻訳したものです。

1月の事例

1月に目立ったのは、高い精度で開発者を狙う攻撃です。とりわけ北朝鮮系グループ「Lazarus」の新たなキャンペーン「Operation 99」によって、Web3や暗号資産業界の開発者が狙われました。このキャンペーンではLinkedIn上で偽採用担当者を装い、被害者を騙して有害なGitLabリポジトリをクローンさせます。このリポジトリによって攻撃者のC2サーバーに接続され、Windows・MacOS・Linuxの各環境で認証情報の窃取やキーロギング、クロスプラットフォームのデータ窃取を行うマルウェアが配信されます。この攻撃と同じ時期、韓国のVPNプロバイダーIPanyに長く影響を及ぼしていたサプライチェーン侵害をESETが発見しました。実行者である中国系グループ「PlushDaemon」は正規のVPNインストーラーをNSISパッケージ版にすり替え、ここにSlowStepperバックドアを仕込んでいました。改ざんされたインストーラーはZIPアーカイブ内で配布されたため、約2年間にわたって秘密裏に拡散が続いていました。ほかにも英国の通信事業社TalkTalkは、脅威アクター「b0nd」が1,900万人分の顧客データとされるものを宣伝した後、サードパーティ製プラットフォームに関連したデータ侵害を確認しました。

2月の事例

2月にはオープンソースモジュールへの大規模なポイズニングが見られました。セキュリティ企業Socketの研究者チームは「BoltDB Go」モジュールのタイポスクワッティングを行い、リモートコード実行を目的としたバックドアを埋め込む有害なパッケージを発見しました。攻撃者はGo Module Proxyのキャッシング設定を悪用し、対応するGitHubタグが削除された後も汚染されたパッケージが確実に残留するよう仕向けるとともに、Hetzner社の汚染されていないIPアドレス空間でホストされたインフラを使って検出を回避していました。一方、Lazarusが再び姿を現した「Operation Marstech Mayhem」では、偽のGitHubリポジトリ上でホストされた有害npmパッケージがLinkedInやDiscordの開発者コミュニティに拡散されました。このキャンペーンでは高度に難読化されたJavaScriptローダーで各システムに適したペイロードを配信し、最終的に「Marstech1」インプラントを展開しています。このような活動はLazarusの以前のキャンペーンと重なる部分があるものの、C2ポートのようなインフラや技術的特徴に変化が見られました。これとは別の事例として、Sandwormのサブクラスター「UAC-0212」によるキャンペーンもCERT-UAから報告されています。攻撃者はウクライナ・セルビア・チェコの重要インフラ機関を狙い、フィッシングメールで脆弱性（CVE-2024-38213）を悪用するLNKファイルを配信し、初期アクセスを獲得しました。その後、UAC-0212はさらなるサプライチェーン侵害を行うため、ICS認証情報とエンジニアリング回路図を探索します。使用されたツールセットはSecondbest、Empirepast、Spark、Crookbagなどで、水平方向の移動（ラテラルムーブメント）とデータ窃取のためにRsyncも使われていました。

3月の事例

3月に発生したサプライチェーン攻撃で最も甚大な影響を与えたのは、人気のGitHub Actions「tj-actions/changed-files」の侵害に関するものでした。攻撃者が深刻度の高い脆弱性（CVE-2025-30066）を悪用してアクションのコードを編集し、悪意のあるコミットを参照するよう複数バージョンのタグを書き換えたため、CI/CDのシークレットが公開ビルドログに流出しました。その後、Wizの研究者によって別のGitHub Action「reviewdog/action‑setup」に関連する侵害も特定されました。この侵害は「tj-actions/changed-files」の改ざんにつながっただけでなく、インストールスクリプト内にペイロードを直接挿入できるようになった可能性があると推測されています。パロアルトネットワークスのUnit 42に所属する研究者は、のちにこの出来事をCoinbaseを狙ったデータ侵害と関連付けました。ほかの事例として、マイクロソフトはSilk Typhoonによる活動の変化を記録しており、ITサプライチェーンを標的にする傾向が高まっていることを明らかにしています。Silk Typhoonは下流の顧客環境に侵入するため、ID管理ツール・クラウドマネジメントサービス・特権アクセス管理ツールといったサービスプロバイダーから窃取したAPIキーや認証情報を悪用して初期アクセスを獲得していました。また、Silk Typhoonは企業から流出したパスワードや、ゼロデイ脆弱性、OAuth、サービスプリンシパルなどを悪用することで、Microsoft Graph経由でEntra Connectのサーバーを侵害してメールの収集を行なったり、SharepointやOneDriveを侵害したりしています。これ以外で3月の話題に上がった出来事としては、セキュリティ研究者Randy McEoin氏が発見したサプライチェーン侵害が挙げられます。この侵害により、100社以上の自動車ディーラーが利用する動画共有サービスが影響を受けました。攻撃者はClickFixの手法でユーザーを誘導し、PowerShellコマンドを実行させてSectopRATをインストールするよう仕向けていました。その後、ディーラー向けの宣伝動画を提供するLES Automotiveが影響を受けたサードパーティとして特定され、この問題が修正されています。

4月の事例

4月には、英国を拠点とする小売大手マークス＆スペンサーの業務混乱という大事件が発生しました。同社が公表した情報によると、このサイバーインシデントによって国内数千店舗で非接触決済やクリック＆コレクトサービスが使用できなくなりました。攻撃は2025年4月19日に始まったものの、最初のドメイン侵害は同年2月に遡り、4月24日にESXiホストに対してDragonForceの暗号化ツールが展開されています。のちに実行者は恐喝グループ「Scattered Spider」だったことが公式に発表され、それ以降に発生した小売業者ハロッズやCo-opへの攻撃も同グループの犯行だったことが明らかになりました。そのほかには、Telegramボットの複数ライブラリをタイポスクワッティングするnpmパッケージをSocketが特定しました。これらのパッケージはREADMEファイルを模倣し、正規のGitHubリポジトリにリンクすることで無害であるように見せかけていたものの、SSHキーを注入したバックドアをインストールし、Linuxシステムからデータを窃取します。インストール時に隠し機能がトリガーされ、パッケージを削除しても挿入されたキーが残るため、攻撃者は永続的なアクセスを獲得できました。

5月の事例

セキュリティ企業Sophosの研究者により、リモートサポートツール「SimpleHelp」に複数存在する脆弱性の悪用事例が観測されました。攻撃ではマネージドサービスプロバイダー（MSP）が標的にされ、いくつものエンドポイントに対してDragonForceランサムウェアを展開することを目的としています。この侵入では2025年1月に公表された一連の脆弱性が悪用されており、パストラバーサルに関する複数の脆弱性（CVE-2024-57727）や、任意ファイルのアップロードが可能になる脆弱性（CVE-2024-57728）、特権昇格の脆弱性（CVE-2024-57726）などが使われたようです。また、攻撃者は機微情報を盗み出し、二重恐喝の手口を用いて身代金を払うよう被害者に圧力をかけていました。Socketにより、Solanaキーを狙うPyPIサプライチェーン攻撃も発見されています。この攻撃では「semantic‑types」パッケージにキーを窃取するためのペイロードを潜ませ、それに依存する5つのパッケージも用意されていました。このマルウェアは実行中にSolanaキー生成関数に「モンキーパッチ」を当て、ハードコードされたRSA-2048公開鍵で暗号化した秘密鍵を抜き取って攻撃者に送信し、盗んだウォレットへのフルアクセスを可能にします。当該パッケージは計2万5,900回以上ダウンロードされていました。また5月13日には、VMWareのRVToolsの公式サイトが改ざんされ、カスタマイズされた「Bumblebee」ローダーの亜種を配信しました。VirusTotalに複数回報告された後、同サイトはオフライン状態になり、正規のファイルをダウンロードできるよう修復されました。

6月の事例

Mandiantによって特定された、Salesforce環境を狙ってビッシングを駆使するUNC640のキャンペーンが注目を集めました。同グループはITサポート担当者を装うことで、Salesforceデータローダーの有害バージョンを従業員にダウンロードさせ、機微性の高い認証情報を盗み取りました。これらの認証情報は水平方向への移動や、ほかのクラウドプラットフォームからのデータ窃取に利用されています。UNC6040はその後、ハッカー集団「ShinyHunter」とのつながりを主張しましたが、これは恐らく被害者に圧力をかけるためと思われます。6月に発生したそれ以外の事例では、Predatory Sparrowがイランのセパ銀行に対する攻撃の実行を主張し、データを破壊して顧客対応や口座へのアクセス、預金引き出し、カード決済などに混乱をもたらしました。セパ銀行の支店は一時閉鎖を余儀なくされ、国内のコサール銀行やエンサール銀行が発行したカードの使用にも問題が生じたと報告されています。セパ銀行への攻撃はメラト銀行への攻撃とも相まって、イラン国内のパンの流通に支障をきたしました。パン職人が補助金給付システム「Nanino」を通じて行われた決済にアクセスできなくなったことで、小麦サプライチェーン全体が影響を受けたからです。そのほかにも、ロシアの省庁が管轄する動物製品認証システム「Mercury」がサイバー攻撃によってオフライン状態になり、業務に必要なデジタル証明書の発行が一時停止しました。別の政府系プラットフォームとのデータ交換が混乱したため、Lenta、Yandex Lavka、Miratorgといったロシアの大手小売業者は広範にわたるサプライチェーンの遅延を経験しました。

7月の事例

クラウドベースの顧客関係管理（CRM）プラットフォーム「Salesforce」に対する過去の侵害事例を基に、ShinyHuntersが同サービスを使ったCRM環境への組織的な攻撃を開始しました。同グループはビッシング攻撃を駆使してSalesforceのCRMデータにアクセスしており、顧客情報データベースへの不正アクセスや「顧客データ管理用ベンダープラットフォーム」への侵害、サードパーティのシステム／CRMプラットフォームへの侵害といった被害が報告されています。ShinyHuntersはその後、Eメールを介して被害者への攻撃を試み、交渉に失敗した際には情報を大々的にリークすると脅しました。同グループが主張する被害者には、カンタス航空、アリアンツ生命保険、LVMHグループの複数子会社、アディダスが含まれます。

さらにSocketは、Contagious Interviewキャンペーンがアップデートされていることを突き止めました。このキャンペーンでは新たに「XORIndex」ローダーを組み込んだ有害npmパッケージが配布されています。攻撃にはこれまで報告されていない67件のパッケージ（HexEvalを含むパッケージが39件、XORIndexを含むパッケージが28件）が利用され、これらは15件のメールアドレスを使って登録された18件のnpmアカウントで公開されました。以前のキャンペーンと同様、XORIndexはハードコードされたC2インフラを使ってホストのメタデータを盗んだ後、攻撃者が提供したJavaScriptペイロードを実行してBeaverTailマルウェアをロードし、InvisibleFerretを取得しました。

8月の事例

Check Pointの調査により、米国の重要な製造サプライチェーン企業を標的としたソーシャルエンジニアリングキャンペーン「ZipLine」が明らかになりました。このキャンペーンでは脅威アクターが「お問い合わせ」フォームを通じて被害者と接点を持ち、数週間にわたるやり取りを経て最終的に有害なZIPアーカイブを送付します。このZIPアーカイブにはLNKファイルが含まれ、埋め込まれたPowerShellスクリプトをメモリ内で実行してMixShellインプラントをインストールする一方、TypeLibハイジャックの手法やスケジュールされたタスクで永続化を確立していました。またKoi Securityは、2025年8月から活動しているnpm攻撃キャンペーン「PhantomRaven」を特定しました。これは126件の有害パッケージを使い、世界中の開発者からnpmトークンやGitHub認証情報、CI/CDシークレットを盗み出すキャンペーンです。これらのパッケージはスロップスクワッティングの手法で命名され、同一のアクターによってアップロードされており、合計86,000回インストールされていることが判明しています。そのほか、金融テクノロジープロバイダーのMarquis Software Solutionsは、顧客データの窃取につながるランサムウェア攻撃を受けました。このインシデントは同社のSonicWallファイアウォールに存在するゼロデイ脆弱性を悪用したもので、40万人に影響を与えたことが確認されています。Marquisは8月14日に被害を報告し、報道によるとその後すぐに身代金を支払ったそうです。攻撃にはAkiraランサムウェアグループが関与していたことも示唆されています。このインシデントは、米国のMaine State Credit UnionとCommunity 1st Credit Unionの顧客にも影響を与えました。

9月の事例

9月初旬、ジャガー・ランドローバーがサイバーセキュリティインシデント発生を公表しました。この攻撃により、同社は生産システムと小売システムの停止を強いられただけでなく、データも盗まれていたことをのちに認めています。犯行声明を出したのは複数の脅威アクターが参画する連合グループ「Scattered LAPSUS$ Hunters」で、この攻撃は同グループが関与を主張する最初の事例の1つとなりました。サイバーセキュリティサービスのGitGuardianはまた、ユーザー327人とGitHubリポジトリ817件に影響を与えた大規模サプライチェーン攻撃「GhostAction」を発見しています。攻撃者は正規ワークフローからシークレットを列挙した上、不正ワークフローにシークレット名をハードコードし、それを正当なリポジトリに注入しました。GitHubリポジトリについてはさらなる問題も発見され、複数のパッケージエコシステムで侵害されたトークンが見つかっています。さらに9月には、500件以上のnpmパッケージを侵害したキャンペーン「Shai-Hulud」の後継活動も初めて確認されました。この Shai-Huludマルウェアには、侵害されたnpmアカウントによって公開されたパッケージを有害なJavaScriptファイルで自動更新するワーム的機能が含まれており、これを使って正規のシークレットスキャナーTruffleHogをダウンロード・実行して機微データを盗み出しています。

10月の事例

10月を象徴するインシデントとして、Oracle E-Business Suiteのゼロデイ脆弱性（CVE-2025-61882）を悪用したCl0pランサムウェアグループによる恐喝キャンペーンが挙げられます。このキャンペーンはGoogleとMandiantの研究者によって発見されました。Cl0pは侵害されたメールアカウントを使い、個人情報ファイルやその他の機微情報を盗んだと主張する内容の恐喝メールを大量に送信しました。著名な被害者にはNHSイングランド、シュナイダーエレクトリック、ハーバード大学、アメリカン航空、ワシントン・ポスト紙などが含まれ、Cl0pはその後も同キャンペーンの一環としてリークサイトに被害者を追加し続けています。さらにKoi Securityは、OpenVSXマーケットプレイスのVS Code拡張機能を狙ったサプライチェーン攻撃を発見しました。この攻撃には自己増殖型ワーム「GlassWorm」が使われています。このマルウェアは自己伝播を目的にnpm、GitHub、Gitの認証情報を収集していたことや、49種類の暗号資産ウォレット拡張機能を標的にしていたことも判明しました。一方、10月20日に発生したAWS障害により、同社のクラウドサービスに依存する物流およびフルフィルメントシステム全体に大きな遅延が発生しました。このインシデントの原因は、米バージニア州にあるUS-East-1リージョンのデータセンターのDNSレコードが空になったことでした。

11月の事例

11月には、リモート監視ツールを使ったサプライチェーン詐欺が話題を集めました。脅威アクターが正規のリモート監視・管理（RMM）ツールを配布し、運送会社や物流会社に侵入するキャンペーンの詳細をProofpointが報告しています。攻撃者は貨物ブローカーに扮して物流マッチングサービスに侵入し、被害者のシステムを完全に制御すると、不正アクセスを駆使して実際の貨物に入札し、積荷を盗みました。この攻撃で確認された正規ツールには、ScreenConnect、SimpleHelp、PDQ Connect、Fleetdeck、N-able、LogMeIn Resolveなどがあります。さらにセキュリティ研究者のPaul McCarthy氏は、43,900件もの不正スパムパッケージで構成されるnpmワーム「IndonesianFoods」を発見しました。これらのパッケージには、npmレジストリをジャンクパッケージであふれさせ、サプライチェーンのリスクを引き起こすよう設計された休眠状態のペイロードが仕込まれています。このワームはインドネシアの人名と食品名でランダムなパッケージ名を生成し、パッケージのJSONファイルを改変して公開状態にします。その後は7秒ごとに生成されたパッケージをnpmで公開する動作を無限に繰り返していました。そして11月18日には、Cloudflareに関連する別の障害が発生しています。このインシデントはCloudflareのデータベースシステムの権限変更に起因し、ボット管理システムで使われる「フィーチャーファイル」に同データベースから複数のエントリが出力されました。巨大化したファイルは世界中に拡散され、トラフィックをルーティングするソフトウェアのクラッシュを引き起こすとともに、主要なプラットフォームやサービスがアクセス不能になったり、エラーページが表示されたりする事態を引き起こしました。

12月の事例

12月5日にはCloudflareが再び大規模障害に見舞われ、世界各地のWebサイトやオンラインプラットフォームがサービス停止に陥りました。このインシデントは脆弱性「React2Shell」への対応として導入された緊急パッチに起因し、Cloudflareが処理する全HTTPトラフィックの約28％に影響を与えています。React2ShellはReact Server Componentsの重大な脆弱性で、認証不要のリモートコード実行を許すバグです。国家支援型アクターとサイバー犯罪者の双方が積極的に悪用しており、Webシェルやバックドア、クリプトマイナー、情報窃取型マルウェア（スティーラー）などを展開していることが確認されました。各企業がパッチ適用を急ぐ中、悪用事例のさらなる増加も見込まれています。脅威アクターの活動が活発になりやすい年末年始には、サプライチェーン関連の新たなインシデントが複数発生してもおかしくありません。

2026年の展望

2025年を通じて観測されたインシデントによって、ベンダーリスクの管理やサードパーティ製ソフトウェアへのパッチ適用だけでは、もはやサプライチェーンのセキュリティを確保できないことがはっきりしました。攻撃者は開発者エコシステムやクラウドプラットフォーム、マネージドサービスプロバイダー、そして公開ツールにおける信頼関係をますます悪用するようになっており、多くのケースで技術的侵害とソーシャルエンジニアリングを組み合わせ、最大限に影響を与えようとしています。こうしたアクセスパスは今後も脅威アクターの下に集まり続けるため、2026年に発生するサプライチェーン攻撃はより迅速かつ広範に影響を与えるようになるとみています。また、攻撃者にひとたび初期アクセスを確立されてしまえば、これを抑え込むことはより困難になると想定しておく必要もあります。今後のサプライチェーン攻撃で下流への影響を抑えるには、依存関係全体の可視性を高め、アイデンティティ管理をより強化するだけでなく、相互接続するシステム間の暗黙的なトラストを減らすことが大切です。

Silobreakerインテリジェンスプラットフォームを活用すれば、組織に影響を与えるサプライチェーン攻撃への対策を支援することができます。詳細については、こちらからデモをお申し込みください。

寄稿者

Joel Francis（Silobreakerインテリジェンスアナリスト）
Silobreakerインテリジェンスプラットフォームから得た知見を基に、Silobreakerリサーチチームが作成