サプライチェーン攻撃

TanStack含む416件のnpmパッケージにワーム感染

セキュリティ

TanStack含む416件のnpmパッケージにワーム感染

週間1200万ダウンロードのJavaScriptルーティングライブラリが今日、CIシークレットを盗み自律的に拡散するワームに感染した。攻撃は現在も進行中で、Mistral AIやUiPathにも被害が広がっている。 GitHub Actionsの信頼を逆手に取った侵入経路 今日（日本時間2026年5月12日）午前4時台、npmレジストリに異常が発生した。TanStack名前空間の42パッケージに対し、84バージョンが立て続けに公開されたが、それらはいずれも悪意あるコードを含んでいた。 攻撃者の手口は三段階で構成される。まずGitHubアカウント「voicproducoes」がTanStack/routerにフォークを作成し、2.3MBの難読化されたJavaScriptペイロードを含むコミットを追加。次に、フォークからのPRに対しても本リポジトリの権限で動く pull_request_target トリガーを悪用し、GitHub Actionsのキャッシュにマルウェアを混入させた。 正規のPRがマージされると汚染されたキャッシュが復元される。その後、ワークフロー実行中にランナー
GeForce NOW侵害、本体は無傷で地域提携先が被害

セキュリティ

GeForce NOW侵害、本体は無傷で地域提携先が被害

ShinyHuntersが「NVIDIA GeForce NOW」のユーザーデータベースを盗み出したと公言してから3日。NVIDIAが回答した。本体は無傷だが、提携先のシステムが破られていた。 NVIDIAの公式回答が示した境界線 ShinyHuntersが「GeForce NOWを侵害し、数百万件のユーザー記録を入手した」と犯罪フォーラム上で名乗りを上げたのは、5月2日のことだった。NVIDIAは沈黙を続け、サンプルデータの真偽は宙に浮いたままだった。 その沈黙が、5月5日にVideoCardz宛ての公式声明という形で破られている。 我々の調査では、NVIDIAが運営するサービスへの影響は確認されていない。問題はアルメニアを拠点とするGeForce NOWアライアンスパートナーのシステムに限定されており、現在パートナーと協力して調査と対応を進めている。影響を受けたユーザーにはGFN.amから通知される。 公式の言い回しを翻訳すると、こうなる。ShinyHuntersの言い分は半分正しい。実際にデータは流出していた。ただし、NVIDIA本体のサーバーからではない。アルメニア
セキュリティ企業Trellixが自社ソースコードを盗まれた

セキュリティ

セキュリティ企業Trellixが自社ソースコードを盗まれた

2億超のエンドポイントを守るはずのセキュリティ企業が、自分のソースコードリポジトリへの不正アクセスを開示した。Trellixは「悪用の証拠はない」と語るが、語っていないことのほうがはるかに多い。 守る企業がやられた セキュリティ企業のTrellix(トレリックス)が、自社のソースコードリポジトリの一部に不正アクセスがあったことを公表している。BleepingComputerが2026年5月4日付で報じ、Trellix自身も公式サイトに声明を掲載した。 Trellixは2022年1月、McAfee Enterprise(マカフィー・エンタープライズ)とFireEye(ファイア・アイ)の統合で誕生した企業だ。世界5万社超の企業・政府機関に展開し、2億超のエンドポイントを保護していると自社で説明している。守る企業のど真ん中にいる会社が、自分の心臓部を覗き見られた。 Trellix recently identified unauthorized access to a portion of our source code repository. Upon learning of t
Chrome拡張108本がC2共有、Telegram乗っ取りも

セキュリティ

Chrome拡張108本がC2共有、Telegram乗っ取りも

Chromeウェブストアに並ぶ108本の拡張機能が、同一のC2サーバーに接続する一大マルウェアネットワークを形成していた。15秒ごとにTelegramセッションを盗む拡張まで含まれている。 2万インストール、108本、単一サーバー セキュリティ企業Socketの調査チームが発表した報告は、数字だけ見ると地味だ。Chromeウェブストアに並ぶ108本の拡張機能が、すべて同じ指令サーバー「cloudapi[.]stream」に接続していた。合計インストール数はおよそ2万件。派手ではない。だがこの「派手ではなさ」こそが、今回の作戦のしたたかさを物語っている。 5つの出版社名義（Yana Project、GameGen、SideGames、Rodeo Games、InterAlt）で拡張が登録され、外見上は無関係のゲームやユーティリティとして散らばっていた。小さな拡張の群れが、裏側では単一のインフラに吸い込まれていた、という構図だ。 Socketはすでにテイクダウン申請を出しているが、記事公開時点で拡張群はまだ生きている。 15秒ごとに盗まれるTelegramセッション 今回の
セキュリティツールが武器に変わる日——TrivyとAxiosに何が起きたか

セキュリティ

セキュリティツールが武器に変わる日——TrivyとAxiosに何が起きたか

3月、世界中のCI/CDパイプラインで静かな異変が始まった。セキュリティスキャナーが認証情報を横流しし、HTTPライブラリがマルウェアを配布していた。被害の全容は、まだ見えていない。 「守る道具」が攻撃の入口になった 脆弱性スキャナーのTrivy（Aqua Security製）は、世界で10万を超えるユーザーと貢献者を持ち、数千のCI/CDパイプラインに組み込まれている。3月19日、そのTrivyが乗っ取られた。 攻撃者集団「TeamPCP」は、2月下旬に設定ミスのあるGitHub Actionsワークフローを悪用してアクセストークンを窃取していた。Aqua Securityは当初これを発見してトークンをローテーションしたが、無効化が不完全だった。残存した認証情報を使い、攻撃者はTrivyの公式リリースチャンネルを一斉に制圧する。 標的は3つ同時だった。バイナリ、GitHub Actions（76/77タグを悪性コードで上書き）、Dockerイメージ。マルウェアはCI/CDパイプラインのメモリを漁り、クラウド認証情報・SSHキー・Kubernetesトークンを暗号化して外部サ
See all