Shai-Hulud npmワーム、セキュリティチェックを偽装せず正規のものを取得

ソフトウェア開発の現場では、外部のコードを組み込む際に「このコードは本物か、安全か」を確認する仕組みが必須です。その確認の一種が「電子署名」。パスポートのようなもので、「このコードは信頼できる人が作った」という証明書です。

ところが今回、開発者に広く使われているライブラリ「keyv」がハッキングされ、その正規の電子署名を使って、ウイルスのような機能を持つ悪いコードを配布されてしまいました。攻撃者が正規の署名プロセスそのものを乗っ取ったため、ウイルス対策ソフトやセキュリティチェックをすり抜けてしまった形です。

これがなぜ大問題なのか。keyvは世界中で1週間に1億回以上、開発者たちが使うツール。868以上の関連プログラムが感染したとみられています。つまり、感染したプログラムを使った企業やサービスが、知らないうちにユーザーの認証情報（パスワードやログイン情報）を盗まれる可能性があるということです。

セキュリティ業界は長年、「署名があれば安全」という前提で多くの防御システムを設計してきました。でも今回の事件は、その前提そのものが通用しなくなったことを示します。攻撃者が「サプライチェーン」（ものやサービスが作られ、配布されるまでの流れ）の信頼を勝ち取ってしまったからです。

開発者たちも企業のセキュリティチームも、これまで以上に「本当に信頼できるのか」を多角的に確認する必要に迫られています。単に署名があるだけでは足りず、定期的な監査や多段階の検証が求められる時代に入ったといえます。