サプライチェーン攻撃の実態解明とカナリーの防衛戦略

はじめに 2025 年 9 月中旬、npm パッケージマネージャでサプライチェーン攻撃が連続して発生しました。開発に欠かせないツールが標的になったこの事件は、多くのエンジニアにとって他人事ではありません。この記事では、攻撃の仕組みと実被害をわかりやすく解説するとともに、Canary がどう備えているかを共有します。私たちの取り組みが、みなさんのセキュリティ対策のヒントになれば幸いです。 攻撃の全体像 今回の攻撃は、フィッシングから始まりました。攻撃者はパッケージのメンテナに巧妙なフィッシングメールを送り、認証情報を盗み出して、正規パッケージに悪意あるコードを仕込んでいきました。 攻撃の流れ 攻撃者が npm パッケージのメンテナにフィッシングメールを送付[1] メンテナが npm 公式サイトを装った偽サイト(攻撃者が巧妙に作成)に認証情報を入力 攻撃者が盗んだ認証情報で npm アカウント