C
月内に
Google Threat Intelligence Group (GTIG) と Mandiant は、オープンソースソフトウェアリポジトリを標的としたサプラ…
📌 一言でいうと
Google Threat Intelligence Group (GTIG) と Mandiant は、オープンソースソフトウェアリポジトリを標的としたサプライチェーン攻撃の増加について警告しています。2025年から2026年にかけて大規模なキャンペーンが観測されており、攻撃者は信頼されたパッケージに悪意のあるコードを混入させる手法を用いています。組織は、依存関係の管理や検証などの防御戦略を実装することが重要です。
🔍該当判定
- 自社でプログラム開発を行っており、npmやPyPIなどのオープンソースライブラリを利用している
- 外部のベンダーにシステム開発を委託しており、その開発環境でオープンソースソフトウェアが使われている
- GitHubなどの公開リポジトリから直接コードをダウンロードして社内サーバーで実行している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
依存関係の固定（Pinning）、ソフトウェア部品表（SBOM）の活用、パッケージの署名検証、およびCI/CDパイプラインのハードニングを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】オープンソース・サプライチェーン攻撃の傾向と対策について
お疲れさまです。サプライチェーン攻撃に関する最新の脅威情報共有です。
■ 概要
Google Threat Intelligence Group (GTIG) および Mandiant より、オープンソースリポジトリを標的としたサプライチェーン侵害の増加に関するレポートが公開されました。2025年〜2026年にかけて大規模なキャンペーンが確認されており、信頼されたパッケージに悪意のあるコードを混入させる手法が巧妙化しています。
■ 影響範囲
- オープンソースライブラリ（npm, PyPI等）を利用して開発を行っているプロジェクトおよび環境
■ 対応手順
1. 依存ライブラリのバージョンを固定（Pinning）し、意図しない自動更新を防止する
2. SBOM (Software Bill of Materials) を導入し、利用しているコンポーネントを可視化する
3. パッケージのハッシュ値検証や署名確認をCI/CDパイプラインに組み込む
■ 参考情報
- Mandiant/Google Threat Intelligence Group ブログ
対応優先度: 中
対応期限: 継続的な対策を推奨
お疲れさまです。サプライチェーン攻撃に関する最新の脅威情報共有です。
■ 概要
Google Threat Intelligence Group (GTIG) および Mandiant より、オープンソースリポジトリを標的としたサプライチェーン侵害の増加に関するレポートが公開されました。2025年〜2026年にかけて大規模なキャンペーンが確認されており、信頼されたパッケージに悪意のあるコードを混入させる手法が巧妙化しています。
■ 影響範囲
- オープンソースライブラリ（npm, PyPI等）を利用して開発を行っているプロジェクトおよび環境
■ 対応手順
1. 依存ライブラリのバージョンを固定（Pinning）し、意図しない自動更新を防止する
2. SBOM (Software Bill of Materials) を導入し、利用しているコンポーネントを可視化する
3. パッケージのハッシュ値検証や署名確認をCI/CDパイプラインに組み込む
■ 参考情報
- Mandiant/Google Threat Intelligence Group ブログ
対応優先度: 中
対応期限: 継続的な対策を推奨
Subject: [Info] Mitigation Guidance for Open Source Supply Chain Compromise
Dear Team,
We are sharing a threat intelligence update regarding the increase in software supply chain compromises targeting open-source repositories.
■ Overview
Google Threat Intelligence Group (GTIG) and Mandiant have reported a surge in large-scale supply chain campaigns throughout 2025 and the first half of 2026. Attackers are increasingly targeting open-source repositories to inject malicious code into trusted packages.
■ Scope
- All development projects and environments utilizing open-source libraries (e.g., npm, PyPI).
■ Recommended Actions
1. Implement dependency pinning to prevent unintended automatic updates to compromised versions.
2. Adopt SBOM (Software Bill of Materials) to maintain visibility of all software components.
3. Integrate package hash verification and signature checks into CI/CD pipelines.
■ Reference
- Mandiant/Google Threat Intelligence Group Blog
Priority: Medium
Deadline: Ongoing implementation recommended
Dear Team,
We are sharing a threat intelligence update regarding the increase in software supply chain compromises targeting open-source repositories.
■ Overview
Google Threat Intelligence Group (GTIG) and Mandiant have reported a surge in large-scale supply chain campaigns throughout 2025 and the first half of 2026. Attackers are increasingly targeting open-source repositories to inject malicious code into trusted packages.
■ Scope
- All development projects and environments utilizing open-source libraries (e.g., npm, PyPI).
■ Recommended Actions
1. Implement dependency pinning to prevent unintended automatic updates to compromised versions.
2. Adopt SBOM (Software Bill of Materials) to maintain visibility of all software components.
3. Integrate package hash verification and signature checks into CI/CD pipelines.
■ Reference
- Mandiant/Google Threat Intelligence Group Blog
Priority: Medium
Deadline: Ongoing implementation recommended