チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「SLSA証明付きでもマルウェア混入って、何を信じればいいでしゅか？」
「Red Hat従業員のGitHubが乗っ取られて、コードレビューも素通りって怖すぎでしゅ……」
チップスうちもnpm依存だらけでしゅ……どこから手をつければいいんでしゅか？
ボスふふふ、サプライチェーン攻撃は「上流の信頼」を前提にしない設計が要るな。今回の手口を知れば、自社で削るべき盲点が見えるぞ。
本記事ではRed Hat関連npmパッケージへのMiasma混入事件と、TeamPCP系マルウェアの広がり、開発組織が取るべき防御強化策を整理します。
読み終える頃には、SLSA時代でも通用するnpm依存管理の見直しポイントが手に入ります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
まずはWiz Researchが2026年6月1日に公表した事実関係を整理します。
攻撃者はRed Hat従業員のGitHubアカウントを侵害し、frontend-componentsやjavascript-clientsなど複数のRedHatInsights傘下リポジトリへ、レビューを通さない「オーファンコミット」を直接プッシュしました。
その上でGitHub Actionsの`id-token: write`権限を悪用し、npm公開用OIDCトークンを取得して有効なSLSA Provenanceを付けたままMiasma入りパッケージを公開しています。
Miasma自体は2026年5月にTeamPCPがオープンソース公開した「Mini Shai-Hulud」を流用したもので、表面の名称をDune系からギリシャ神話系に置き換えただけで中身はほぼ同一です。
新機能としてGCPとAzureのクレデンシャル収集が追加され、感染ごとに一意のキーで暗号化されたペイロードを生成するためハッシュベースの検出は通用しません。
事件の主要数値は以下のとおりです。
| 項目 | 内容 |
|---|---|
| 発覚日 | 2026年6月1日（Wiz Research） |
| 対象 | @redhat-cloud-services配下32本以上 |
| ダウンロード | 週間約8万件 |
| 侵入経路 | Red Hat従業員GitHubアカウント乗っ取り |
| マルウェア | Miasma（Mini Shai-Hulud派生、GCP/Azureクレデンシャル収集） |
チップス正規アカウントから正規署名で出されたら、見抜きようがないでしゅ……。
ボスそこが本質だ。鍵は「コミット履歴の正しさ」と「公開フローの監査」だな。署名は出発点であってゴールではない。
本件はSBOM整備やSLSA署名確認だけでは止められない点が、運用上もっとも痛い部分です。
まず実施すべきは、過去30日間で@redhat-cloud-services配下のパッケージを取り込んだ開発端末・CI/CD環境を洗い出し、GitHubトークンやクラウド認証情報を強制ローテーションすることです。
そのうえで、npm依存はバージョンの固定化と整合性チェック（npm install –ignore-scripts、npm audit signatures）を組み合わせ、postinstallスクリプトの実行を抑止する運用が有効です。
OSS公開側に対しては、メンテナアカウントへのハードウェアキーMFA必須化、保護ブランチ＋必須レビュー設定、リリース署名と公開ワークフローの分離が再点検対象になります。
SLSA Provenanceは強力な仕組みですが、メンテナのGitが侵害されればフロー全体が汚染されるため、コミット履歴の異常検知も並行して導入する必要があります。
具体的な対策をまとめると次のとおりです。
チップスOIDC便利だから、ついつい広めの権限で組んじゃってるでしゅ……。
ボスそこを攻撃者が狙っている。今回の事件を教材にして、ワークフロー権限の見直しを通せば、社内説明にも説得力が出るぞ。
Miasma事件は、SLSA Provenanceや署名検証といった最新のサプライチェーン防御がそろっていても、メンテナアカウントとワークフロー権限が崩れれば容易に突破できることを示しました。
npm依存の棚卸し、postinstallスクリプト制御、メンテナ側のハードウェアキーMFA、OIDC権限の最小化を組み合わせ、「人と権限」を中心に据えた防御へ進める必要があります。
サプライチェーン攻撃が高頻度・高巧妙化する2026年において、開発組織の足腰を強くする実務はますます重要度を増しています。
こうしたDevSecOps領域の実装に挑みたい方は、ぜひセキュリティフリーランス案件で多様な現場を経験してみてください。
参考: Wiz Blog「Miasma: Supply Chain Attack Targeting RedHat npm Packages」 / Microsoft Security Blog「Preinstall to persistence: Inside the Red Hat npm Miasma credential-stealing campaign」
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
