今週、実際に起きた攻撃7件
研究でもPoCでもなく、この1週間で本当に被害が出たものだけを集めました
① Rust を使っているなら今日。定番部品の arrayref internment append-only-vec が汚染されました。累計2億4,500万回ダウンロードされた部品群で、ビルドした瞬間に動く仕掛けでした。
② npm を使っているなら今日。14個のパッケージにLinux向けバックドアが仕込まれていました。同梱の遠隔操作ツールは約1万円で誰でも買え、自然な言葉で操作できます。
③ WordPress サイトを運営しているなら今週。約2,000サイトが乗っ取られ、マルウェア配信網に組み込まれていました。被害者ではなく加害者側に立たされるタイプで、運営者は気づきません。
④ Microsoft 365 を使っているなら監視の見直しを。外部と一切通信しない攻撃が2件立て続けに報じられました。「怪しい通信がないから安全」が通用しません。
⑤ そして今週、AIエージェントが人間の操作なしでランサムウェア攻撃を最後まで完遂した事例が確認されました。皮肉なことに、暗号鍵が保存されておらず払っても復旧できない状態でした。
💥 開発現場を襲った3件（今週）
8月18日から21日までの4日間で、3つの異なるエコシステムが同時にやられました。
なぜ開発者のパソコンが狙われるのか
開発者のノートPCには、会社のシステムを動かすための鍵が一式そろっています。クラウドのアクセスキー、サーバーへのSSH鍵、GitHubのトークン、データベースの接続情報。本番環境を触るために、どうしても手元に置かざるを得ないものばかりです。
つまり開発者のPCは、会社のシステム全体への合鍵の束。ここを1台押さえれば、攻撃者はファイアウォールを突破する必要すらありません。正規の鍵で、正規の入口から入ってくるだけです。
Rust の定番部品3つが汚染
arrayref / internment / append-only-vec
Rust言語で広く使われている部品が乗っ取られました。特徴は「ビルド時ドロッパー」——プログラムを組み立てる段階で動く仕掛けだったことです。実行してからではなく、コンパイルした瞬間に発動します。
複数の分析機関が北朝鮮系グループの活動との重複を指摘しています。汚染の起点になったのは proc-macro1 という別の部品でした。
RubyGems に偽物16個
タイポスクワッティング
正規のパッケージ名を1文字だけ変えた偽物が16個、同時に発見されました。狙いはブラウザに保存された認証情報と、暗号資産のウォレットです。
Ruby on Rails は日本のWeb開発でも広く使われています。名前の打ち間違いだけでなく、AIが提案したパッケージ名をそのまま入れてしまうケースも増えており、この手口の成功率を押し上げています。
npm に「AI搭載」バックドア
RedC2 4.0 / 販売者 MarlboroMan
14個のパッケージにLinux向けバックドアが仕込まれていました。注目は同梱された遠隔操作ツールの中身です。
「Red Agent」という層があり、攻撃者が平易な言葉で書いた指示を、遠隔操作コマンドに翻訳します。しかもこのツールは犯罪フォーラムで99.99ドル（約1万5千円）で販売されていました。
多くの人が誤解しているのがここです。パッケージを入れただけでは何も動かない、実際にプログラムから呼び出して初めて動く——そう思っていませんか。
違います。npm や PyPI には「インストール時に自動実行されるスクリプト」という仕組みがあります。本来は導入後の準備処理をするための機能ですが、攻撃者にとっては最高の起動装置です。今回のRustの事案では、さらに手前のビルド段階で動く仕掛けが使われました。
開発者はコマンドを1つ打っただけ。そのコマンドが終わる頃には、PCに保存されていたクラウドの鍵もSSH鍵も、すでに外部へ送信されています。誤操作は一切していません。
日本の開発現場も、すでに何度も踏んでいます
「海外の話でしょう」と思われがちですが、そうではありません。国内のセキュリティ企業が、個別の事案ごとに日本語の対応指針を5本公開しています。keyv（8/4）・AsyncAPI（7/14）・mastra（6/17）・Bitwarden（4/23）・axios（3/31）。
企業がわざわざ日本語で対応指針を書くのは、顧客や自社から「うちは大丈夫か」という問い合わせが来たからです。無関係な事案について、手間をかけて解説を5本も書きません。
🤖 AIが「操作者」になった
今週いちばん重い話です。ランサムウェアに人間がいませんでした。
ランサムウェアには、これまで必ず人間がいました。誰かが標的を選び、侵入手段を買うか作り、道具を動かし、被害者に金を要求する。今週報告された「JADEPUFFER」では、それが誰もいませんでした。
🔧 JADEPUFFER：エージェントが自分で選んで進んだ手順
払っても戻ってきません
この事案の異様な点は、攻撃が成功したのに、金を取る仕組みの方が壊れていたことです。エージェントは自分が生成した暗号鍵を保存しておらず、支払い先にも実在しないプレースホルダのアドレスを書いていました。
つまり被害者が身代金に応じても、データは復旧できませんでした。「交渉すれば戻る」という前提は、攻撃が自動化されると先に崩れます。バックアップが唯一の防衛線になる、ということです。
もう1件、AIが使われた攻撃
同じ週に、中国系とみられる攻撃グループ「SilkParasite」が、中央アジア6か国（ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、ジョージア、カザフスタン）の政府機関を約1年にわたって狙っていたことが報告されました。誘導メール2通がAI生成で、5種類の新しいマルウェアの開発にもAI支援の痕跡が残っていました。
SilkParasite の件について、分析元ははっきりこう書いています——「この水準のマルウェアは依然として人間の専門家の仕事であり、SilkParasite は主として支援型。腕のある人間が設計し、速度を上げるためにAIを使っている」。
危険なのはAIが人間を置き換えることではありません。同じ人数で、より多くの亜種を、より速く作れるようになったことです。検体パターンによる検知が追いつかなくなるのは、この「速度」が理由です。
逆に前述の JADEPUFFER は、AIが助手ではなく操作者になった事例で、位置づけがまったく違います。同じ「AI攻撃」という言葉でも中身は別物なので、混ぜないでください。
🌐 あなたのサイトが加害者にされる
WordPressサイトの運営者向け。被害者ではなく、踏み台にされる話です。
今週報告された「StopAndProtect」は、乗っ取られた約2,000件のWordPressサイトを、マルウェア配布のインフラとして使い回している単一の攻撃オペレーションでした。
この事案が重要なのは、被害者ではなく「加害者側」に立たされるパターンだからです。自社のサイトが乗っ取られ、訪問者にマルウェアを配る踏み台にされる。サイトは普通に表示され続けるので、運営者は何ヶ月も気づきません。気づくのは、たいてい外部から通報が来たときです。
同じ週に、入口になる穴も見つかっています
WordPressの有料ページビルダー Elementor Pro に、認証なしでPHPファイルをアップロードして実行できる脆弱性（CVE-2026-32475）が見つかりました。8月20日の報告です。
この2つが噛み合うと、「Elementor Pro の穴から入って、サイトを配信網に組み込む」という流れが一直線につながります。日本国内のCMSシェアでWordPressは突出しており、Elementor Pro の導入数も多い。今週のうちに更新してください。
□ Elementor Pro を最新版に更新した（CVE-2026-32475／認証不要でPHP実行）
□ WordPress本体と、他のプラグインも最新版か確認した
□ 使っていないプラグイン・テーマを停止ではなく削除した（停止中でもファイルは残り、狙われます）
□ 管理画面のログイン履歴に、身に覚えのないIPからの成功がないか確認した
□ 自分のサイトをログアウト状態のブラウザで開き、見覚えのない転送やスクリプトが動いていないか確認した
□ 管理者アカウントに多要素認証を設定した
☁️ 外部通信が出ない攻撃2件
Microsoft 365 利用者向け。監視の前提が崩れます。
今週の世界のデータでもうひとつ目立ったのが、Microsoft のクラウドサービスの内側だけで完結する攻撃が立て続けに2件報じられたことです。
| 名称 | 初報 | 何をするか | なぜ検知できないか |
|---|---|---|---|
| TWINLOOT | 8/18 | SharePoint と Teams を悪用して認証情報を盗み、社内の他アカウントへ侵入範囲を広げる | 外部のサーバーと一切通信しない。やり取りをすべて Microsoft のクラウド内で完結させるため、外向き通信の監視に引っかからない |
| SynkLoader | 8/22 | Teams のメッセージ経由で新種のマルウェアを配布する | メールゲートウェイを通らない。迷惑メール対策をメールの入口に集中させている組織では、この経路が素通りになる |
日本の多くの組織は、次の2つを安全の根拠にしています。
① 「怪しい外部通信が出ていないから安全」 → TWINLOOT には通用しません。外部通信そのものが発生しません。
② 「メールのフィルタが万全だから安全」 → SynkLoader には通用しません。Teams はメールゲートウェイを通りません。
Microsoft 365 は日本企業の標準基盤です。クラウドの「中」で何が起きているかを見る仕組みがあるか、今週のうちに確認しておく価値があります。
✅ 今すぐやること
立場ごとに、今日・今週・今月でやることを分けました。
今日（数分）：機械照合を1回だけ回す
osv-scanner・npm audit signatures・pip-audit のいずれかを、いま手元のプロジェクトで1回走らせてください。報告済みの悪性パッケージはここで全部落ちます。今週の Rust・RubyGems・npm の事案も、すでに公開データベースに登録済みです。
今日（1分）：導入時スクリプトを止める
設定1行で、導入した瞬間に動くタイプの攻撃を丸ごと止められます。報告済みのうち12,221件がこの起動方法を使っています。ただし正規パッケージの準備処理も止まるので、まず自分の環境1つで試してから広げてください。
今週：バージョンを固定する
npm ci や pip install --require-hashes を使い、バージョンが勝手に上がらない状態を作ります。乗っ取り型は「公開直後の毒入り版が自動で降ってくる」ことで成立するので、ここを止めると被害の窓が閉じます。
今月：ビルド環境の外向き通信を絞る
許可した宛先以外への通信を落とします。盗んだ情報を送り出せなければ、悪性コードが実行されても被害になりません。「実行を止める」対策と「持ち出しを止める」対策は別物で、両方あって初めて機能します。
npm config set ignore-scripts true
# Python (pip)：ビルドを伴う導入を避ける
pip install –only-binary :all: パッケージ名
# 既知の悪性パッケージを照合する
osv-scanner scan source -r ./
□ 開発者：osv-scanner を1回走らせる。Rust・Ruby・Node.js を使っているなら今日中に。
□ 開発者：AIが提案したパッケージ名を、そのまま入れずに公式ドキュメントで確認する習慣をつける
□ Web担当者：Elementor Pro と WordPress 本体を更新し、未使用プラグインを削除する
□ 情シス：Microsoft 365 内部の動きを監視できているか確認する（外向き通信の監視だけでは足りません）
□ 情シス：Teams 経由のファイル・リンクに対する対策があるか確認する
□ SOC・監視担当：「外部C2通信なし」を前提にした検知ルールを見直す
□ 経営・管理者：オフラインまたは書き換え不可のバックアップがあるか確認する（払っても戻らない事例が出ました）
□ 全員：パッケージを公開する側に回っているなら、公開アカウントにパスキー等の多要素認証を設定する
📊 背景：なぜ今これだけ起きるのか
今週の3件が偶然ではないことを、数字で確認しておきます。
「たまたま悪い週だった」わけではありません。報告された悪性パッケージの件数を年別に見ると、2025年にはっきりした断層があります。
📈 報告された悪性パッケージ（年別・報告ベース）
2024年の12,547件から2025年は192,842件へ、約15倍。累計は235,971件に達し、うち219,959件がnpmに集中しています。直近30日だけでも3,303件が新たに報告されました。
この急増の正体は、内訳を見ると分かります。235,971件のうち219,655件が「未分類」——既知のどの手口パターンにも当てはまらない、名前のついていない大量投稿です。人が1つずつ手で作ったのではなく、機械的に大量生成されたものと考えるのが自然です。攻撃側が「1つ精巧に作って狙い撃つ」から「10万個ばらまいて誰かが踏むのを待つ」へ切り替えたということです。
実際に起きた攻撃の総数ではありません。検出プロジェクトが熱心に動いているエコシステムほど、件数は大きく出ます。npmが22万件と突出している最大の理由はこれです。
逆に Maven（Java）が2件、Packagist（PHP）が1件というのは「Javaは安全」という意味ではまったくありません。単に、そこを機械的に探しているプロジェクトが少ないだけです。数字の少なさを安心材料にしないでください。
今日
スキャンを
1回走らせる
今日
導入時スクリプトを
既定で止める
今週
バージョンを
固定する
今月
外向き通信を
絞る
① 現代のソフトは世界中の誰かが書いた部品の寄せ集めでできています。部品が汚染されると、完成品も汚染されます。
② 狙われているのは開発者のPCにある「鍵」です。開発を外注しているなら、委託先の開発環境の管理状況が自社のリスクに直結します。
③ 今週、身代金を払っても復旧できないランサムウェアの事例が出ました。攻撃が自動化されると、交渉という選択肢が先に消えます。バックアップの確認を今月中にしてください。
コメント