axiosのnpmサプライチェーン侵害、ソーシャルエンジニアリングによるメンテナ認証情報の窃取に起因

axiosのnpmサプライチェーン侵害、ソーシャルエンジニアリングによるメンテナ認証情報の窃取に起因

The Hacker News – Apr 03, 2026

axiosに対する最近のサプライチェーン攻撃では、非常に巧妙なClickFix風ソーシャルエンジニアリング手法によってメンテナのnpmアカウント認証情報が窃取されていたという。メンテナ自身が認めている。

このサプライチェーン攻撃は、北朝鮮との関連が疑われるハッカーUNC1069がaxiosのメンテナJason Saayman氏のnpmアカウントを乗っ取り、リモートアクセス型トロイの木馬（RAT）を配布する有害バージョンのaxios npmパッケージをリリースしたというもの。

詳しくはこちらの記事で：

Saayman氏によれば、同氏のアカウントを盗むために攻撃者は入念にカスタマイズされたソーシャルエンジニアリング手法を利用。攻撃者はまず、実在する著名企業の創業者を装ってSaayman氏に接触し、当該企業のSlackワークスペースへSaayman氏を招待したという。

その後、攻撃者はSaayman氏とのMicrosoft Teamsミーティングをセッティング。このビデオミーティング中に、Saayman氏のシステムの一部が最新化されていないと伝える偽のエラーメッセージを表示し、アップデートするよう促したとされる。しかし、Saayman氏がTeams関連のアップデートだと思い込んでインストールしたものは、実際にはリモートアクセス型トロイの木馬（RAT）だったという。このRATを利用することで、攻撃者はSaayman氏のnpmアカウントを乗っ取るのに必要な認証情報の窃取に成功している。

Saayman氏は攻撃の一連のプロセスについて、「すべてが非常に綿密に調整されており、本物らしく見え、プロフェッショナルなやり方で進められていた」とコメント。UNC1069の手法がいかに巧妙であったかを強調した。

しかし、同様の手法で標的にされた開発者はSaayman氏だけではないとみられる。Socketが4月3日に公開したブログ記事によれば、以下を含むNode.jsエコシステムのメンテナ複数人が、似たようなソーシャルエンジニアリング手法で狙われたことを明かしているという。

• Jordan Harband氏：Socketのエンジニアで、ECMAScriptのShimとPolyfillの維持管理を担う人物。
• John-David Dalton氏：人気のJavaScriptユーティリティライブラリLodashのクリエイターで、Socketのエンジニア。
• Matteo Collina氏：Fastify、Pino、Undiciのリードメンテナ。
• Scott Motte氏：dotenvのクリエイター。
• Pelle Wessman氏：mocha、neostandard、npm-run-all2、type-festのメンテナ。
• Jean Burellier氏：Node.jsのコア開発者であり、Expressのコントリビューター。

このうちWessman氏のケースでは、攻撃者は「ポッドキャストの録音」に同氏を招待。そのためのビデオ会議の中で、「技術的なエラー」に関するメッセージが表示され、Wessman氏はこれを「修正」するためにあるアプリをダウンロードするよう要請されたという。同氏がこれを拒否すると、攻撃者は戦術を変え、今度はcurlコマンドをTerminalアプリで実行するよう指示。Wessman氏がこれにも応じなかったため、攻撃者はそれまでの会話履歴をすべて消去し、姿を消したとされる。

またBurellier氏のケースでは、攻撃者は「Openfort」という企業の広報担当者を装ってLinkedInメッセージを同氏に送付。信頼関係を育む取り組みののち、攻撃者はSlackワークスペースへBurellier氏を招待し、Saayman氏のケースと同様にTeamsでのミーティングを設定すると、ミーティングの中で偽のアップデートをインストールさせようとした。Burellier氏がこれを拒否し、別日に改めてミーティングをやり直してはどうかと提案したところ、攻撃者は同氏をSlackから削除し、会話をすべて削除したという。

Socketは、標的になったアカウントが今では「npmレジストリ内で最も広く利用されているパッケージやNode.jsのコア自体にまで及んでおり、これらを総合すると、axiosが単発の標的ではなかったことが確認される」と指摘。axiosのメンテナに対する攻撃は「信頼度が高く、影響力の大きいオープンソースのメンテナンス担当者を標的とした、組織的かつ拡張性のある攻撃パターン」の一部であったとの見解を示している。

なお、今回使われた、①時間をかけて信頼関係を築き、②ビデオミーティングを設定し、③ミーティング内で偽のエラーを表示して、④「修正プログラム／アプリ」や「アップデート」（実際はRAT）をインストールするよう促すという手法は、過去にHuntressやカスペルスキー、Mandiant（Google）が報告したUNC1069やBlueNoroff、GhostCallといったアクターの手法と大きく重複している。