axiosのサプライチェーンが北朝鮮のハッカーによる攻撃を受けた疑い、標的は企業の暗号資産

Google 傘下のサイバーセキュリティ機関 Mandiant は、北朝鮮のハッカー組織の疑いがある勢力が、今週火曜日の axios サプライチェーン攻撃事件に責任があることを確認した。攻撃者は、オープンソースソフト axios の開発者アカウントを侵入し、火曜日の午前中の約3時間という猶予の中で、同ソフトをダウンロードするすべての組織に対して悪意のあるアップデートを配信した。目的は、企業の暗号資産を窃取して、北朝鮮の核武器およびミサイル計画の資金に充てることだった。

攻撃の実行詳細：3時間という精密なサプライチェーン攻撃

ハッカーの行動は、ソフトウェアのサプライチェーン攻撃が持つ高い効率性の特性を示している。攻撃者はまず、axios のオープンソースソフトの開発者のアカウント支配権を入手し、直ちに正規の身分で、悪意のあるコードを含むバージョンを正式なアップデートとして偽装し、配信した。その3時間の猶予の間に、いかなる組織の自動化システムも、通常の更新を行う際に、このバックドア付きのバージョンを知らないうちに展開してしまう。

Google 傘下の Wiz 社の戦略的脅威インテリジェンス責任者 Ben Read は、「北朝鮮は自分たちの評判や最終的に特定されることを恐れていない。だから、この種の行動がいかに注目を集めるとしても、彼らはそのような代償を払ってでもやる用意がある」と指摘した。

Huntress のセキュリティ研究者 John Hammond はさらに、今回のタイミングが「ちょうどよい」ものであると述べ、各組織がソフトウェア開発に AI 代理（エージェント）を大量に採用していることを挙げた。「審査も制約もない」ため、サプライチェーンの脆弱性が、システマティックに悪用されやすくなる。

調査で判明：被害規模と今後の攻撃方向

現在の調査では、多面的な脅威が明らかになっている：

影響を受けたデバイス：Huntress は、約 135 台の侵入されたデバイスを特定しており、約 12 社に所属している。推定では、それは実際の被害規模のほんの一部にすぎない

評価時間：Mandiant のチーフテクノロジーオフィサー Charles Carmakal は、今回の攻撃の影響を完全に評価するには数か月かかる可能性があると警告した

次の攻撃方向：Mandiant は、攻撃者が窃取した資格情報とシステムのアクセス権限を利用して、企業の暗号資産をさらに絞り込み、窃取を実行すると見込んでいる

サプライチェーンの脆弱性：Hammond は、「自分が使っているソフトウェアの構成要素を、もう気にしない人が多すぎる。これがサプライチェーン全体に大きな脆弱性をもたらしている」と述べた

歴史的背景：北朝鮮によるデジタル窃盗の体系的アップグレード

今回の axios 攻撃は、平壌によるソフトウェアのサプライチェーンに対する体系的な侵入の最新事例だ。3年前、北朝鮮の工作員の疑いがある勢力が、別の広く利用されている音声・映像ソフトのサプライヤーに侵入した。去年は、北朝鮮のハッカーが単独の攻撃で 15 億ドル相当の暗号資産を窃取し、当時の暗号ハッカー事件の歴史記録を塗り替えた。

国連および複数の民間機関の報告によると、北朝鮮のハッカーはここ数年で銀行や暗号通貨企業から数十億ドルを盗んでいる。2023 年には、ホワイトハウスの当局者が開示しており、北朝鮮のミサイル計画の資金の約半分は、この種のデジタル窃盗によって賄われている。これにより、この安全保障上の脅威には、直接的な国際的な戦略的含意がある。

よくある質問

axios とは何で、なぜ今回のサプライチェーン攻撃の標的になったのか？

axios は、広く使用されている JavaScript npm の中核パッケージ（攻撃対象のバージョンは 1.14.1）で、開発者がウェブサイトの HTTP リクエストを処理するのを支援する。数千の医療、金融、テクノロジー企業に採用されている。そのダウンロード数の極めて多さが、サプライチェーン攻撃の高額な価値の高い目標にしている。開発者アカウントを侵入すれば、数時間のうちに大量の下流組織へ同時に悪意のあるコードをプッシュできる。

今回の攻撃は暗号資産企業に対して、どのような具体的リスクを意味するのか？

Mandiant の評価によると、攻撃者は窃取した資格情報を利用して、暗号資産を保有する企業への侵入をさらに進める。感染したバージョンの axios を使う暗号資産企業やテクノロジー企業は、気づかないうちに攻撃者へ社内システムへのバックドアを提供している可能性がある。これにより、ウォレットの秘密鍵、API キー、取引の認証情報が窃取されるリスクにさらされる。

企業は、今回の axios サプライチェーン攻撃をどのように評価し、どう対応すべきか？

直ちに以下の手順を実行することが推奨される：システム内の axios のバージョンが攻撃対象のバージョンに該当するかを確認する；攻撃が発生した時間帯（火曜日午前の3時間のウィンドウ）のソフトウェア更新ログを確認する；異常な資格情報へのアクセスや外部接続の挙動が存在しないかをスキャンする；そして Huntress、Mandiant などのセキュリティ機関に連絡して専門的な評価を依頼する。