OpenCodeへの蒸留攻撃でAPIキーが漏洩、ユーザーらは数百〜1,000ドル超の不正課金発生も報告

佐々山 Tacos

2026.10.20

[開く][閉じる]

OpenCodeへの蒸留攻撃でAPIキーが漏洩、ユーザーらは数百〜1,000ドル超の不正課金発生も報告
オランダの多国籍スーパー・Eコマース小売企業、複数食料雑貨ブランドでのサイバー障害の背後に「悪意ある活動」があったと認める

OpenCodeへの蒸留攻撃でAPIキーが漏洩、ユーザーらは数百〜1,000ドル超の不正課金発生も報告

BleepingComputer – October 19, 2026

オープンソースのAIコーディングプロジェクト「OpenCode」が、セキュリティ侵害について公表。この侵害により、影響を受けるユーザーらが外部のAIプロバイダーで使用していたAPIキーが漏洩したという。このインシデントの影響で、複数のユーザーが不正なAPI課金が発生したり、Google Cloudでプロジェクトが停止されたりしたと報告している。

OpenCodeは、ターミナル、IDE、またはデスクトップでのコード作成を支援するオープンソースのエージェント。ユーザーはClaude、GPT、Geminiを含むさまざまなAIベンダーのモデルをOpenCodeコンソールに接続することができる。

OpenCodeは10月18日、大規模な蒸留攻撃を受けたと発表。影響を受けたのはアンソロピック・OpenAI・Googleなどの外部プロバイダーと接続している開発者のみで、すでにこれらのユーザーには通知済みだと明かした。これは、全OpenCode Consoleユーザーの1.4%に該当するという。

蒸留とは、小規模AIモデルの学習を、より強力なモデルが生成する応答を使って行う正規の機械学習手法。しかし、許可されていないクエリによって大規模に行われた場合、「蒸留攻撃」となる。

OpenCodeの共同設立者であるDax Raad氏によれば、攻撃者はAIエージェントを使い、同社のシステムを少なくとも48時間にわたって攻撃していたとされる。またRaad氏は、自身の使うAIモデルに内蔵されたセキュリティ上のセーフガードにより、インシデント調査の進行が一時妨げられたことも明かしている。

ユーザーからの報告によると、秘密鍵が漏洩したことで、数百米ドルから最大1,700米ドルに及ぶAPI関連の不正な請求が発生しているとされる。OpenCodeは影響を受けたユーザーに向けたメッセージの中で、被害者に対する補償の可能性に言及しているとのこと。

オランダの多国籍スーパー・Eコマース小売企業、複数食料雑貨ブランドでのサイバー障害の背後に「悪意ある活動」があったと認める

The Record – October 20th, 2026

オランダの多国籍食料雑貨店チェーン・Eコマース小売企業のアホールド・デレーズ（Ahold Delhaize）が、サイバー攻撃により米国・ヨーロッパ向けブランドの大多数でシステムをオフラインにせざるを得なくなっていたと公表。この攻撃では米国・オランダ・ベルギーのオンラインサービスが一時停止したものの、閉鎖された店舗はなかったとされる。

アホールド・デレーズは当初、10月12日にネットワーク内で「セキュリティ上の問題」が生じていることを公表。一部システムをオフラインにするなどの緩和措置を講じていることや、店舗は引き続きオープンしている旨などを伝えたが、それ以上の詳細は明かしていなかった。

同社はその後、10月19日に続報を発表。サイバーセキュリティ専門家らとの調査の結果、同社のITインフラで検出された不審な活動は「他社による悪意ある活動」の結果生じたものであることが裏付けられた、と述べた。ただ、攻撃の性質や身代金要求の有無などについては共有していない。

アホールド・デレーズはサービスを段階的に復旧させていると述べ、米国向けブランドのオンラインショッピングサービスはまだ利用できない状態にあるものの、数日中に再開される見込みであるとした。またオランダ向けブランドのAlbert Heijn、Etos、Gall & GallのWebサイトとアプリは復旧しているが、Albert Heijnの宅配サービスは金曜日まで再開されない見通しだという。一方、ベルギーおよび中央・南東ヨーロッパでは、Eコマースサービスが復旧しているとされる。

同社はこのインシデントをオランダ警察およびサイバーセキュリティ当局に報告済みとのこと。