8月5日、JavaScript向けパッケージ管理サービス「npm」で、広く使われる数百個のパッケージに認証情報を盗むマルウェアが混入される大規模なサプライチェーン攻撃（ソフトウエアの部品供給網を狙った攻撃）が発生したことが伝えられた。多くの開発現場で使われるツール群が対象となっており、影響範囲の大きさが注目されている。
30秒でわかるポイント
- セキュリティ企業Aikido Securityが2026年8月4日までに侵害を確認
- 対象は少なくとも434パッケージ、1381バージョン
- 合計月間インストール数は20億回を超える規模
何が起きたのか
npmは、JavaScriptで開発を行うエンジニアが日常的に利用するパッケージ管理サービスである。
今回、このnpm上で配布されている数百個のパッケージに、利用者の認証情報を盗み取るマルウェア（不正なプログラム）が混入していることが確認された。
セキュリティ企業のAikido Securityが調査を行い、2026年8月4日時点で侵害の実態を公表した。
被害の規模はどれくらいか
Aikido Securityの発表によると、侵害が確認されたパッケージと利用実績は次の通りである。
- 侵害パッケージ数：少なくとも434個
- 侵害バージョン数：1381バージョン
- 合計月間インストール数：20億回超
これらのパッケージは開発者が日常的にダウンロードして利用するものであり、合計月間インストール数が20億回を超えるという規模から、影響が広範囲に及ぶ可能性がある。
なぜ注目されているのか
npmのようなパッケージ管理サービスは、世界中の開発者が共通して利用するインフラ的な存在である。
そこに悪意あるコードが混入すると、直接攻撃を受けていない企業やサービスであっても、間接的に影響を受ける可能性がある。
こうした攻撃手法は「サプライチェーン攻撃」と呼ばれ、供給網の一部を狙うことで広範囲に被害を及ぼす点が特徴とされる。今回のケースも、多数のパッケージが一度に侵害された点で、その典型例とみられる。
今後の対応について
現時点で公開されている情報では、具体的な被害企業名や、盗まれた認証情報がどのように悪用されたかについての詳細は明らかにされていない。
セキュリティ企業側からは侵害パッケージの一覧や規模についての情報提供が行われている段階であり、開発者に対しては利用中のパッケージの確認や認証情報の見直しが呼びかけられているものとみられる。
今後、npm運営側やセキュリティ機関からの追加情報や対応策の発表が待たれる状況である。
まとめ
2026年8月5日に伝えられたこの事案は、開発者が広く利用するnpmパッケージ群が標的となった大規模なサプライチェーン攻撃である。侵害範囲は434パッケージ、1381バージョンに及び、合計月間インストール数は20億回を超えるとされる。ソフトウエア開発の基盤となるサービスが狙われた今回のケースは、開発者だけでなく、そのソフトウエアを利用する多くの人々にとっても無関係ではない出来事といえる。
出典: Gigazine