C
月内に
セキュリティツールベンダーのCheckmarxが、Lapsus$によるサプライチェーン攻撃の被害に遭いました
📌 一言でいうと
セキュリティツールベンダーのCheckmarxが、Lapsus$によるサプライチェーン攻撃の被害に遭いました。攻撃者はGitHubリポジトリからソースコードや機密情報（シークレット）を窃取し、公開したと主張しています。この攻撃は2026年3月23日に開始された一連のサプライチェーン攻撃の一環であるとされており、現在影響範囲の調査が進められています。
🏢影響範囲
Checkmarx製品の利用者、およびセキュリティ・開発ツールベンダー
✅該当時の対応
Checkmarx製品を利用している場合は、ベンダーからの公式通知を注視し、APIキーやシークレットの更新が必要か確認してください。また、GitHub等のソースコード管理ツールのアクセス権限と認証設定を再点検することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Checkmarxにおけるサプライチェーン攻撃とデータ流出について
お疲れさまです。Checkmarx社への攻撃に関する情報共有です。
■ 概要
脅威アクターLapsus$が、CheckmarxのGitHubリポジトリからソースコードおよび機密情報（secrets）を窃取し、公開したと主張しています。本件は2026年3月23日に発生したサプライチェーン攻撃に起因するものとされています。
■ 影響範囲
- Checkmarxのソースコードおよび内部機密データ
- (二次的に) Checkmarx製品を利用している組織のセキュリティリスク
■ 対応手順
1. Checkmarx製品を利用している場合、ベンダーからの公式通知および脆弱性アドバイザリを監視してください。
2. 漏洩したシークレットが自社環境に影響を与える可能性があるか、認証情報の整合性を確認してください。
3. 開発パイプラインにおけるGitHub等のリポジトリ権限設定を再レビューしてください。
■ 参考情報
- The Register: Ongoing supply-chain attack 'explicitly targeting' security, dev tools
対応優先度: 中
対応期限: 状況確認次第、随時
お疲れさまです。Checkmarx社への攻撃に関する情報共有です。
■ 概要
脅威アクターLapsus$が、CheckmarxのGitHubリポジトリからソースコードおよび機密情報（secrets）を窃取し、公開したと主張しています。本件は2026年3月23日に発生したサプライチェーン攻撃に起因するものとされています。
■ 影響範囲
- Checkmarxのソースコードおよび内部機密データ
- (二次的に) Checkmarx製品を利用している組織のセキュリティリスク
■ 対応手順
1. Checkmarx製品を利用している場合、ベンダーからの公式通知および脆弱性アドバイザリを監視してください。
2. 漏洩したシークレットが自社環境に影響を与える可能性があるか、認証情報の整合性を確認してください。
3. 開発パイプラインにおけるGitHub等のリポジトリ権限設定を再レビューしてください。
■ 参考情報
- The Register: Ongoing supply-chain attack 'explicitly targeting' security, dev tools
対応優先度: 中
対応期限: 状況確認次第、随時
Subject: [Intel] Supply Chain Attack targeting Checkmarx
Dear Team,
We are sharing information regarding a security breach at Checkmarx.
■ Overview
The extortion group Lapsus$ claims to have exfiltrated and leaked source code and secrets from a Checkmarx GitHub repository. This incident is linked to a broader supply chain attack that reportedly began on March 23, 2026.
■ Scope of Impact
- Checkmarx source code and internal secrets.
- Potential downstream risk for organizations utilizing Checkmarx security tools.
■ Recommended Actions
1. Monitor official Checkmarx security advisories for updates on customer data exposure.
2. Review and rotate any API keys or secrets associated with Checkmarx integrations if advised by the vendor.
3. Audit access controls and secrets management within your own CI/CD pipelines and GitHub repositories.
■ Reference
- The Register: Ongoing supply-chain attack 'explicitly targeting' security, dev tools
Priority: Medium
Deadline: Ongoing monitoring
Dear Team,
We are sharing information regarding a security breach at Checkmarx.
■ Overview
The extortion group Lapsus$ claims to have exfiltrated and leaked source code and secrets from a Checkmarx GitHub repository. This incident is linked to a broader supply chain attack that reportedly began on March 23, 2026.
■ Scope of Impact
- Checkmarx source code and internal secrets.
- Potential downstream risk for organizations utilizing Checkmarx security tools.
■ Recommended Actions
1. Monitor official Checkmarx security advisories for updates on customer data exposure.
2. Review and rotate any API keys or secrets associated with Checkmarx integrations if advised by the vendor.
3. Audit access controls and secrets management within your own CI/CD pipelines and GitHub repositories.
■ Reference
- The Register: Ongoing supply-chain attack 'explicitly targeting' security, dev tools
Priority: Medium
Deadline: Ongoing monitoring