当サイトでは、日本語と英語のセキュリティ情報を毎日集めて比較しています。2026年8月1日時点の集計は、次のようになりました。

表1：当サイトの収集データによる集計（日本語記事898本／世界1,500本を、同一事件の重複をまとめたうえで比較）

調べた全56テーマの中で、「北朝鮮系の攻撃グループ」の偏りは最大でした。日本語の記事898本を「Lazarus」「ラザルス」「北朝鮮」「DPRK」「Kimsuky」で全文検索して、本当に0件です。

ちなみに、この件については米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）が2026年4月20日に公式アラートを出しています。国レベルで注意喚起されるほどの事案が、日本語ではほぼ流通していない。これがこの記事を書いた理由です。

第1章 おわり — 次は第2章

Amazonの分析でいちばん興味深いのは、これが単発の事件ではなく、1年かけて規模を広げた「段階的な作戦」だったという指摘です。

表2：3段階のキャンペーン（出典：Amazon Threat Intelligence、2026年7月29日）

Amazonの最高情報セキュリティ責任者 CJ Moses 氏は、最初の typo-crypto について「標的が小規模だったからこそ、大舞台に出る前に手口を試せた」という趣旨の説明をしています。本番前のリハーサルだったという見立てです。

逆に言えば、同じ規模の配布力で、もっと悪質な仕掛けを配ることもできたということです。そして2026年3月の axios では、実際にそうなりました。

第2章 おわり — 次は第3章

axios の開発チームは、事件後にポストモーテム（事後検証レポート）を公開しました。隠さず、時刻まで含めて公開されています。ここでは、その内容をそのまま紹介します。

表3：axios侵害のタイムライン（出典：axios公式ポストモーテム）

侵入経路は、技術的な脆弱性ではありませんでした。主要メンテナ個人のパソコンが、標的型の誘導とRAT（遠隔操作ウイルス）で乗っ取られ、npmアカウントの認証情報が盗まれたのです。人が狙われました。

この「人を狙う」部分こそが、いま最も進化している領域です。2026年のフィッシングは、ワンタイムパスワードを入れても止まらない段階に入っています。開発者アカウントを守るうえで直結する話なので、フィッシング3世代の進化もあわせてご覧ください。

そして注入された plain-crypto-js は、macOS・Windows・Linux の3つすべてにRATを仕込むものでした。開発者のパソコンも、ビルドサーバーも、区別なく対象です。

🔧 あなたの環境が影響を受けたかを確認する

axios のメンテナが公式に案内している対処は、次の5点です。2026年3月31日ごろに依存パッケージを更新した心当たりがあるなら、必ず確認してください。

表4：axios公式が案内する確認・対処手順（通信先は無害化表記）

npm ls axios

上のコマンドで、依存関係の奥に潜んでいる axios も含めて一覧できます。自分で直接使っていなくても、別のライブラリの中で使われていることがほとんどなので、必ず確認してください。

第3章 おわり — 次は第4章

ニュースの見出しは「北朝鮮のハッカーの仕業」と断定形で書かれます。しかし、元の発表を読むと、そこまで強い言い方はしていません。

Amazon の公式ブログの表現は、こうです。

「断定」ではなく「中程度の確信度での評価」です。この違いは、とても大きい。

表5：脅威インテリジェンスにおける確信度の目安（一般的な用法）

では、なぜ「中」なのでしょうか。報道を丁寧に読むと、いくつか無視できない引っかかりがあります。

表6：帰属をめぐって指摘されている論点

公平を期すために書き添えると、axios 単体については、より強い裏づけがあります。Google は独自に UNC1069 という攻撃者に帰属させ、その根拠としてWAVESHAPER.V2 というバックドアと、この集団が以前使っていたVPNノードを挙げています。Microsoft も同じ事案を Sapphire Sleet に帰属させました。複数の組織が独立に、同じ方向の結論に達しているのは強い材料です。

第4章 おわり — 次は第5章

この事件について調べ始めると、同じ集団が記事によって違う名前で呼ばれていることに気づきます。これは初心者が最初につまずくポイントであり、実は専門家でも混乱の元になっています。

表7：同一とされる集団の呼び名（出典：Microsoft、Google、Amazon の各発表で言及された対応関係）

なぜこんなことになるのか。各セキュリティ企業が、自分たちの観測データにもとづいて独自に名前を付けているからです。観測範囲が違えば見える活動も違うので、「完全に同一」とは言い切れないまま、重なりだけが確認されるという状態になります。

⚠️ 「Lazarus」という言葉の使われ方に注意

ここで、この記事で最も注意深く書きたい点をお伝えします。

日本語で北朝鮮のサイバー攻撃といえば、まず Lazarus（ラザルス） という名前が挙がります。しかし今回の一連の発表で、Amazon も Microsoft も Google も、「Lazarus」という名前は使っていません。使われたのは Sapphire Sleet / BlueNoroff / UNC1069 です。

実務上のコツをひとつ。集団の名前を追いかけるより、「手口」を追いかけるほうが役に立ちます。名前は会社ごとに変わりますが、「メンテナのアカウントを乗っ取って、正規のパッケージに悪意あるコードを混ぜる」という手口は変わりません。そして守り方も、手口に対して決まります。

第5章 おわり — 次は第6章

npm の話と同じ時期に、韓国からもうひとつの重要な発表がありました。今度はLazarus そのものについてです。

2026年7月末、韓国の4つの機関（国家情報院・警察庁・KISA・金融保安院）が合同で注意喚起を出し、セキュリティ企業 AhnLab がその裏づけとなる調査を公表しました。作戦名は 「Operation Double Barrel（二連銃作戦）」。

表8：Operation Double Barrel の概要（出典：韓国4機関の合同アドバイザリ、AhnLab の調査）

この発表が重い理由は、「国家がやるスパイ活動」と「金目当ての犯罪」の境界が溶けていることを、具体的な技術的証拠つきで示した点にあります。

そして日本にとって重要なのは、入口が「その国で導入が事実上必須になっているソフト」だったという点です。日本にも、業界ごとに「これを入れることになっている」というソフトウェアは数多くあります。全員が同じものを入れている＝一箇所破れば全員に届くという構造は、韓国だけの話ではありません。

第6章 おわり — 次は第7章

第4章で書いたとおり、攻撃者が誰かは実務上あまり重要ではありません。重要なのは「同じ手口が来たときに耐えられるか」です。立場別に整理します。

表9：立場別・今日からやること

特に強調したいのは3行目「インストール時スクリプトの無効化」です。

npm には、パッケージを入れた瞬間に自動でプログラムを実行する仕組み（post-installフック）があります。便利な機能ですが、axios の攻撃はまさにこれを使いました。多くのプロジェクトでは、この機能を使っていない依存パッケージがほとんどです。既定で止めておけば、同種の攻撃の大半は不発になります。

npm ci --ignore-scripts

第7章 おわり — この先はまとめです

表10：この記事の結論と、次の行動

最後に、この記事を書きながら考えたことを書いておきます。

今回いちばん印象に残ったのは、axios のメンテナが公開したポストモーテムにあった「不正な公開を自動的に検知する手段は無かった」という一文でした。

週に1億回ダウンロードされるライブラリです。世界中の企業が、金融も医療も含めて、その上にサービスを載せています。それでも守っていたのは、たいてい少人数の、多くは無償の開発者でした。そして異変に最初に気づいたのは、自動監視ではなく「なんかおかしい」と思った一人の利用者だったのです。

私たちは、この構造の上に生活しています。誰かの善意で公開された部品を、無料で、当たり前のように使っている。だからこそ、使う側にもできることがあります。バージョンを固定する。更新を確認してから入れる。おかしいと思ったら報告する。どれも地味ですが、今回axiosを救ったのは、まさにその地味な行動でした。

そして最後にもう一度。日本語の情報が無いことは、日本が安全であることを意味しません。この記事が、その空白を少しでも埋められていれば幸いです。

第8章 おわり — お読みいただきありがとうございました