Trivyサプライチェーン攻撃から学ぶCI/CDパイプラインのセキュリティ対策

「セキュリティツール自体が攻撃に使われることってあるの？」
「OSSの脆弱性スキャナーを信頼して使っているけど、大丈夫？」

チップス

ボス！
脆弱性をチェックするためのツール「Trivy」が攻撃に悪用されて、欧州委員会のデータが340GBも漏れたでしゅ！
セキュリティツールが危険って、何を信じればいいんでしゅか！？

ボス

サプライチェーン攻撃の恐ろしさが凝縮された事件だ。
攻撃者はTrivyの更新プロセスに不正コードを仕込み、そこからAWSの認証情報を窃取した。
「守るためのツール」が「攻撃の入口」になったわけだな。

2026年4月、脆弱性スキャナーTrivyのサプライチェーン攻撃により欧州委員会で大規模なデータ漏洩が発生しました。
Trivyは日本企業のCI/CD環境でも広く使われています。
この記事では攻撃の仕組みと、開発チームが見直すべきポイントを解説します。

CI/CD環境でTrivyやOSSツールを利用している方は、自社の更新プロセスを確認してください。

Trivyサプライチェーン攻撃の仕組みと被害

この攻撃はTeamPCPと呼ばれる脅威グループによって実行されました。

正規の更新チャネルを悪用した高度な攻撃

2026年3月19日、欧州委員会は通常のソフトウェア更新チャネルを通じて、改ざんされたバージョンのTrivyをダウンロードしました。
攻撃者は更新プロセスに不正コードを仕込み、CI/CDパイプラインで実行されるタイミングでAWSのAPIキーを窃取しています。
被害の流れは以下の通りです。

最終的にShinyHuntersというハッキンググループがデータを公開し、71のクライアントに影響が及びました。
漏洩データには氏名、ユーザー名、メールアドレスなどの個人情報が含まれています。

チップス

セキュリティのためのツールが踏み台になるなんて、完全に裏をかかれてるでしゅ…。

CI/CDパイプラインを守るために企業が取るべき対策

同グループ（TeamPCP）はTrivy以外にもKICS、LiteLLM、Telnyxなど複数のサプライチェーン攻撃に関与しています。
OSSツールを利用する全ての企業が対象リスクの中にあります。

OSSツールの安全な運用方法

CI/CDパイプラインはコードのビルドからデプロイまでを自動化する仕組みですが、ここに不正コードが混入すると被害は一気に拡大します。
以下の対策でリスクを軽減してください。

「OSSだから安全」ではなく、「OSSだからこそ検証が必要」という意識に切り替えることが大切です。

ボス

CI/CDパイプラインは「自動化された信頼」の塊だ。
そこが汚染されれば、ビルドされる全てのコードに影響が及ぶ。
自動化の便利さに頼りすぎず、検証のステップを挟め。

まとめ

ボス

セキュリティツールだから安全という思い込みは、今回の事件で完全に崩れた。
守る側のツールも攻撃対象になるということを忘れるな。

チップス

バージョン固定とハッシュ検証、すぐ取り入れるでしゅ！
CI/CDの設定も見直すでしゅ！

Trivyのサプライチェーン攻撃は、セキュリティツール自体が攻撃経路になりうることを証明した事件です。
OSSツールを利用する際はバージョン固定・ハッシュ検証・権限の最小化を徹底してください。
詳細はHelp Net Securityの報道で確認できます。