【セキュリティ】Mastraを襲った巧妙なサプライチェーン攻撃とその手口：npmトークン乗っ取りから学ぶ教訓

はじめに：成功がもたらす新たな脅威

Mastraは先日、非常に巧妙なサプライチェーン攻撃の標的となりました。これは単なる偶発的な事件ではなく、企業が成功を収め、注目を集めるにつれて、その成功が攻撃者にとって魅力的な標的となり得るという、現代における厳しい現実を示しています。今回の攻撃は、北朝鮮に関連するとされるハッカーグループとの関連性も指摘されており、その手口は非常に洗練されていました。

本記事では、Mastraが経験したこのサイバー攻撃の詳細を深掘りし、その手口、Mastraがどのように対応したか、そしてセキュリティ専門家であるSuperagentのIsmail氏の視点から、この事件が示す業界の傾向と私たちが学ぶべき教訓を解説します。この事例を通じて、開発者や企業がサプライチェーン攻撃から身を守るための具体的な対策と、セキュリティ意識向上の重要性について考察します。

Mastraを襲った巧妙なサプライチェーン攻撃の全貌

Mastraのチームが経験した攻撃は、複数の段階を経て実行された非常に組織的なものでした。

攻撃の足がかり：ソーシャルエンジニアリングの手口

攻撃は、まず一人のMastraエンジニアに対するソーシャルエンジニアリングから始まりました。LinkedInを通じて、ある「著名な人物」を装った攻撃者が、AIエンジニアリングに関する議論のためにミーティングを提案しました。Mastraのエンジニアは普段からユーザーや業界関係者との交流を大切にしているため、この申し出を受け入れました。

このミーティングに際して送られてきたのは、一見するとMicrosoft Teamsのリンクに見えるものでした。しかし、実際にはteams.lineapp.comというURLの偽のサイトであり、これは正規のMicrosoft Teamsのドメインではありませんでした。エンジニアはオーディオの問題を解決しようとして、促されるままに何らかのファイルをインストールしてしまいます。この時点で、攻撃者はエンジニアのnpm認証情報を含む、いくつかの機密情報へのアクセス権を獲得しました。

npmアカウントの乗っ取りと悪意あるパッケージの公開

認証情報を手に入れた攻撃者は、エンジニアのnpmアカウントを乗っ取ります。特に危険だったのは、対象のエンジニアのアカウントに二要素認証（2FA）が有効になっていなかった点です。攻撃者は、マシン上にあった強力なnpmトークンを悪用し、npmアカウントのメールアドレスを変更しました。これにより、Mastraチームは一部のパッケージから強制的に締め出される事態となりました。

その後、攻撃者は「EasyDjS」という名の悪意あるパッケージを公開しました。これは、広く利用されているJavaScriptのライブラリであるDay.jsのクローンを装ったものでしたが、post-installスクリプトが含まれていました。このスクリプトは、パッケージがインストールされた際に自動的に実行され、ユーザーの暗号通貨ウォレットや秘密鍵を検索するよう設計されており、ダウンロードしたユーザーは容易にハッキングされる危険性がありました。

迅速な対応と復旧プロセス

Mastraチームは状況を迅速に把握し、対応に当たりました。攻撃的なパッケージを非公開にし、健全なバージョンのパッケージを再公開することで、被害の拡大を食い止めました。しかし、この緊急対応の過程で、npmのツールが予期せぬ課題を引き起こしたと述べられています。例えば、多要素認証のワンタイムパスワード（OTP）の期限切れや、APIのレート制限に直面し、スムーズな復旧作業が妨げられました。

Mastraは、問題解決後、GitHub Issueで発生した出来事を詳細に説明し、影響を受けたすべての有料顧客やコミュニティの支持者に対し、積極的にコミュニケーションを取りました。また、被害を受けたエンジニアのPCは完全に初期化され、再設定されました。これは、個人用データと業務用データの両方を含む徹底的な処置であり、再発防止に向けた強固な姿勢を示しています。

なぜMastraが狙われたのか？セキュリティ専門家の視点

SuperagentのIsmail氏は、今回のMastraへの攻撃について、より広範な視点から分析しています。

成功はターゲットとなる

Ismail氏は、「成功していなければハッキングされない」という重要な点を指摘します。MastraがGitHubスターを獲得し、ソーシャルメディアでの注目度を高めていた時期にこの攻撃が発生したことは、単なる偶然ではないと見ています。企業やプロジェクトが成功を収め、露出が増えるにつれて、その知名度が攻撃者の標的となり得るのです。

計画的な犯行：偶発ではない攻撃の兆候

今回の攻撃は、非常に組織的かつ計画的であったと考えられています。Ismail氏によると、攻撃の2週間前から準備が進められていた可能性があり、その巧妙さからランダムな攻撃ではないことが示唆されます。また、攻撃が発生する直前にも、Mastraのオープンソースプロジェクトのプルリクエストに、暗号通貨関連のバックドアを注入しようとする試みが確認されていたことも指摘されています。これは、今回のサプライチェーン攻撃と関連性があるかもしれないとIsmail氏は推測しています。

サプライチェーン攻撃の一般的なパターン

Ismail氏は、近年増加しているサプライチェーン攻撃の一般的なパターンについても言及しています。これには、認証トークンの乗っ取りが含まれ、これにより攻撃者はnpmパッケージなどのライフサイクルスクリプト（例：post-installスクリプト）に悪意あるコードを挿入します。このコードが実行されると、システム全体の侵害や環境変数の抽出などが行われ、深刻な被害につながる可能性があります。

私たちが学ぶべき教訓と対策

Mastraの事例から、私たちは現代のサイバーセキュリティにおける重要な教訓を学ぶことができます。

ソーシャルエンジニアリングへの警戒: 技術的なセキュリティ対策だけでなく、人間を介したソーシャルエンジニアリング攻撃に対する意識を高めることが不可欠です。不審な連絡、リンク、ファイルのダウンロード要求には最大限の注意を払い、常に情報源の正当性を確認する習慣を身につけるべきです。
多要素認証の徹底: npmなどの重要なアカウントには、必ず多要素認証（2FA）を設定し、すべてのメンバーにその徹底を義務付けるべきです。Mastraの事例では、これが破られたアカウントが攻撃の足がかりとなりました。
重要インフラに対する継続的な監視と迅速な対応: 悪意のあるパッケージが公開された際に、それを迅速に検知し、非公開化、再公開できるような体制とツールが不可欠です。緊急時におけるツールの信頼性も考慮に入れる必要があります。
成功がリスクを高めるという認識: プロジェクトや企業が成功を収め、注目を集めるほど、サイバー攻撃の標的となるリスクが高まることを認識し、それに合わせたセキュリティ対策を強化していく必要があります。

まとめ

Mastraが経験した今回のサプライチェーン攻撃は、デジタル化が進む現代社会において、いかに巧妙で組織的な脅威が存在するかを浮き彫りにしました。この事例は、単なる技術的な脆弱性だけでなく、人間の心理を突くソーシャルエンジニアリングが、いかに効果的な攻撃手段となり得るかを示しています。

私たちは、この教訓を深く受け止め、多要素認証の徹底、不審な情報への警戒、そして迅速なインシデント対応体制の構築を通じて、日々のセキュリティ対策を強化していく必要があります。開発者コミュニティ全体でセキュリティ意識を高め、より安全なデジタル環境を共に築いていくことが求められます。

参考動画

https://www.youtube.com/watch?v=Psbb1nUUrkw

ポイント