## npmの人気パッケージが侵害される 2026年3月30日から31日にかけて、JavaScriptの人気HTTPクライアント「Axios」のnpmパッケージが**サプライチェーン攻撃**の被害を受けました。攻撃者はAxiosのメンテナーのnpmアカウントを乗っ取り、悪意のあるコードを含む改ざん
2026年3月30日から31日にかけて、JavaScriptの人気HTTPクライアント「Axios」のnpmパッケージがサプライチェーン攻撃の被害を受けました。攻撃者はAxiosのメンテナーのnpmアカウントを乗っ取り、悪意のあるコードを含む改ざんされたバージョンを公開しました。
攻撃者は plain-crypto-js@4.2.1 という偽の依存関係を組み込みました。このパッケージはインストール後のフック（post-install hook）を実行し、以下を配布します：
RATは完全なシステムアクセス権を攻撃者に与え、データ盗難、認証情報の抽出、追加のマルウェア配布などが可能となります。
この攻撃が特に危険な理由は、Axiosが以下の環境で広く使用されているためです：
該当期間中にこれらの改ざんされたバージョンをインストールしたすべてのシステムは、完全に侵害されていると見なされます。
自動スキャナーが公開からわずかな時間で悪意のあるパッケージを検出し、アラートが発行されました。
影響を受けた可能性のあるシステムは、以下の対策を直ちに実施してください：
システムの隔離
認証情報の再発行
システムの再構築
ログの確認
この攻撃はnpm依存関係チェーン全体への信頼を揺るがします。開発者コミュニティに対して、以下の教訓を与えています：
npm Security Teamは以下の対応を実施：
開発チーム、セキュリティ担当者、依存関係管理ツール（npm audit、Snyk、Dependabotなど）の強化が急務です。