チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「NPMパッケージをインストールしたら、マルウェアも一緒に入ってくるなんてあるんでしゅか？」
「4時間で444パッケージに感染って……うちのプロジェクトも使ってるパッケージかもしれないでしゅよ！」
チップス有名なNPMパッケージって信頼できると思ってたんでしゅが……まさかインストールするだけでやられるなんて怖いでしゅよ！
ボスこれがサプライチェーン攻撃の恐ろしさだな。メンテナーのアカウントさえ奪えば、そのパッケージを信頼しているすべての開発者が標的になる。ChainDropはさらに自己伝播するワームだった
2026年8月4日、自己伝播型のNPMワーム「ChainDrop」が4時間以内に444のパッケージ・2212の悪意あるバージョンをNPMレジストリに登録した。
起点となったのは、メンテナーのGitHubアカウントが侵害されたkeyvとcacheableのネームスペースで、その後433パッケージへ自動伝播した。
週5億ダウンロードを超えるパッケージが感染し、インストール時にNPM/GitHub/クラウドとAIツールの認証情報が窃取されるリスクが生じた。
keyvが初期ベクターとなったNPMエコシステムの信頼を根底から揺るがすこの攻撃から、自社のCI/CDパイプラインと認証情報を守る方法を確認してほしい。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
攻撃は2026年8月4日（UTC）に始まった。keyv（週1億5000万ダウンロード超）とcacheableネームスペースのメンテナーのGitHubアカウントが侵害され、まず11個のマルウェアキャリアが投稿された。
その後ChainDropの自己伝播機構が盗んだNPMトークンを使い4時間で433の追加パッケージを汚染し、計444パッケージ・2212の悪意あるバージョンが登録された。
感染が確認されたパッケージには、エンタープライズ向けSDKや設計システムが多く含まれていた。
| 組織 | 感染パッケージ数 | 特徴 |
|---|---|---|
| @servicetitan | 141パッケージ | エンタープライズ向けSDK |
| @onereach | 78パッケージ | ビジネスアプリケーション基盤 |
| @or-sdk | 74パッケージ | コーポレートアプリ構築ツール |
これらのパッケージは公開開発ツールからコーポレートビルドパイプラインに至るまで広く使われており、合計で週5億ダウンロードを超える影響範囲となった。
ChainDropの最大の特徴は、多層的な攻撃技術の組み合わせにある。
インストール時に実行されるpreinstallフックがBunランタイムをGitHubから動的にダウンロードして起動する。
コマンド&コントロールサーバーのアドレスは、Ethereumメインネットのスマートコントラクトからeth_callで取得する「EtherHiding」技術を採用している。
75のパブリックRPCエンドポイントを試行し、静的なIPやドメインでのブロックが困難な設計だ。
ChainDropが狙う認証情報の範囲は以下のとおりだ。
盗んだNPMトークンで被害者がアクセス可能なすべてのパッケージに自動的にペイロードを注入・再発行する仕組みで感染が連鎖した。
さらに.vscode/tasks.jsonや.claude/settings.jsonをリポジトリに挿入することで永続化も図っている。
チップスClaudeとかの認証情報まで狙われるんでしゅか！開発ツール全部危ないでしゅね……
ボス現代の攻撃者は開発環境を特に狙う。一度CI/CDパイプラインに侵入すればプロダクション環境まで到達できる。自己伝播するワームは特に連鎖的な被害を生む
ChainDropは、有名パッケージのメンテナーアカウント侵害から始まる自己伝播型の攻撃がいかに短時間で広がるかを示した事例だ。
Ethereumを使ったC2や24時間での自己消去など、検出・追跡を困難にする高度な技術が組み合わされていた。
影響を受けた可能性がある場合の確認と対応ポイントは以下のとおりだ。
npm auditや公式アドバイザリで感染バージョンを特定する.vscode/tasks.json等）の追加がないか確認する
チップスlockfileでバージョンを固定して、定期的にauditするのが基本でしゅね！依存パッケージも気を抜けないでしゅ！
ボスふふふ、正しい。依存パッケージへの信頼は「名前」ではなく「バージョン」と「整合性チェック」で担保する時代だな
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
