チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
「セキュリティツール自体が攻撃に使われることってあるの？」
「OSSの脆弱性スキャナーを信頼して使っているけど、大丈夫？」
チップスボス！
脆弱性をチェックするためのツール「Trivy」が攻撃に悪用されて、欧州委員会のデータが340GBも漏れたでしゅ！
セキュリティツールが危険って、何を信じればいいんでしゅか！？
ボスサプライチェーン攻撃の恐ろしさが凝縮された事件だ。
攻撃者はTrivyの更新プロセスに不正コードを仕込み、そこからAWSの認証情報を窃取した。
「守るためのツール」が「攻撃の入口」になったわけだな。
2026年4月、脆弱性スキャナーTrivyのサプライチェーン攻撃により欧州委員会で大規模なデータ漏洩が発生しました。
Trivyは日本企業のCI/CD環境でも広く使われています。
この記事では攻撃の仕組みと、開発チームが見直すべきポイントを解説します。
CI/CD環境でTrivyやOSSツールを利用している方は、自社の更新プロセスを確認してください。
この攻撃はTeamPCPと呼ばれる脅威グループによって実行されました。
2026年3月19日、欧州委員会は通常のソフトウェア更新チャネルを通じて、改ざんされたバージョンのTrivyをダウンロードしました。
攻撃者は更新プロセスに不正コードを仕込み、CI/CDパイプラインで実行されるタイミングでAWSのAPIキーを窃取しています。
被害の流れは以下の通りです。
最終的にShinyHuntersというハッキンググループがデータを公開し、71のクライアントに影響が及びました。
漏洩データには氏名、ユーザー名、メールアドレスなどの個人情報が含まれています。
チップスセキュリティのためのツールが踏み台になるなんて、完全に裏をかかれてるでしゅ…。
同グループ（TeamPCP）はTrivy以外にもKICS、LiteLLM、Telnyxなど複数のサプライチェーン攻撃に関与しています。
OSSツールを利用する全ての企業が対象リスクの中にあります。
CI/CDパイプラインはコードのビルドからデプロイまでを自動化する仕組みですが、ここに不正コードが混入すると被害は一気に拡大します。
以下の対策でリスクを軽減してください。
「OSSだから安全」ではなく、「OSSだからこそ検証が必要」という意識に切り替えることが大切です。
ボスCI/CDパイプラインは「自動化された信頼」の塊だ。
そこが汚染されれば、ビルドされる全てのコードに影響が及ぶ。
自動化の便利さに頼りすぎず、検証のステップを挟め。
ボスセキュリティツールだから安全という思い込みは、今回の事件で完全に崩れた。
守る側のツールも攻撃対象になるということを忘れるな。
チップスバージョン固定とハッシュ検証、すぐ取り入れるでしゅ！
CI/CDの設定も見直すでしゅ！
Trivyのサプライチェーン攻撃は、セキュリティツール自体が攻撃経路になりうることを証明した事件です。
OSSツールを利用する際はバージョン固定・ハッシュ検証・権限の最小化を徹底してください。
詳細はHelp Net Securityの報道で確認できます。
