Keyv／Cacheable系が大規模なnpmサプライチェーン攻撃を受ける　悪性パッケージ2,000超

ChainCatcherによると、SlowMistの監視でMistEyeがKeyv／Cacheableエコシステムを狙った大規模なnpmサプライチェーン攻撃を検知した。攻撃者はkeyv@6.0を含む悪意あるパッケージのバージョンを2,000以上公開したという。 KeyvはRedis、SQLite、PostgreSQL、MongoDBなど複数のバックエンドに対応するキー・バリュー型ストレージ抽象化ライブラリで、週間ダウンロード数は約1億2,700万回に上る。利用規模の大きさから、下流の依存関係に広範な影響が及ぶリスクがある。 手口は過去に観測された"ShaiHulud"のnpmワーム活動と類似しており、高度に自動化され拡張性の高いサプライチェーン攻撃である可能性が指摘されている。想定される不正挙動として、認証情報の窃取、環境変数の漏えい、CI/CDシークレットの露出、リモートペイロード配布、侵害された開発環境を起点とした横展開などが挙げられる。 セキュリティ担当者には、影響を受けたバージョンの特定と除去、検証済みの安全なバージョンへの更新、依存関係のロックファイルやビルドログの精査、不審な外向き通信の監視、流出の恐れがある認証情報のローテーション、侵害が確認された場合の環境再構築が推奨される。