CyberSecurityAction

サプライチェーン/依存関係

npmパッケージ「keyv/cacheable」に仕込まれたワーム—トークンを失効させると逆に被害が拡大する逆説的攻撃

侵害されたnpmトークンを即座に失効させる「お作法」が、今回の攻撃では逆にペイロードを起動させるトリガーになる。SANS ISSが警告したサプライチェーン攻撃の新手法。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
npmパッケージ「keyv/cacheable」に仕込まれたワーム—トークンを失効させると逆に被害が拡大する逆説的攻撃

THREAT GAUGE算出基準

IMPACT（影響範囲）7.0
URGENCY（対応緊急度）8.0
EXPLOIT（悪用の容易さ）7.5

“トークン失効が攻撃をアームするという逆説的挙動。対応手順の再考が必要。”

01 · Overview

ニュースの概要

2026年8月5日（現地時間）、SANS Internet Storm Centerは、npmパッケージ「keyv」および「cacheable」が侵害され、ビルドホストで実行した際に悪意あるペイロードをデプロイするワームが仕込まれたと報告しました。特筆すべき点は、「侵害されたnpmトークンを即時失効させる」という通常のインシデント対応手順が、この攻撃では逆にペイロードを起動させてしまうという逆説的な挙動です。

keyv（npmの人気キャッシュ抽象化ライブラリ）とcacheableは、多くのJavaScript/Node.jsプロジェクトで依存関係として利用されているパッケージです。攻撃者はこれらのパッケージの公開トークンを侵害し、悪意あるバージョンをnpmレジストリに公開しました。侵害されたバージョンをCI/CDのビルドホストでインストール・実行すると、バックドアが仕込まれる可能性があります。

SANS ISSのインシデント対応担当者が特に強調したのは、「盗まれたトークンを失効させると攻撃がアーム（有効化）される」という仕組みです。これは従来のサプライチェーン侵害の常識と大きく異なります。通常のプレイブックでは「侵害されたトークンは直ちに失効させる」ことが最初のステップですが、今回はその行動が攻撃の引き金となる設計がされています。対応担当者は事前に十分な状況把握をしてから対応手順を選択する必要があります。

日本のJavaScript/Node.jsを利用した開発組織はkeyvやcacheableを依存関係として利用しているケースが多く、CI/CDパイプラインの精査と、侵害されたバージョンを誤ってインストールしていないかの確認が急務です。

侵害パッケージ
keyv / cacheable (npm)
攻撃手法
サプライチェーン（npmワーム）
報告
SANS ISC (2026-08-05)
逆説的挙動
トークン失効がペイロードをアーム
対象環境
Node.js / JavaScript CI/CDビルドホスト

SANS ISCのインシデント対応記録（2026-08-05）を一次情報として使用。侵害範囲・影響パッケージバージョンの詳細は調査継続中。

02 · Analysis

詳細な原因解説

今回の攻撃は「npmエコシステムへの信頼」を悪用したサプライチェーン攻撃です。開発者はkeyvやcacheableを依存関係として`package.json`に記載するだけで自動的に最新バージョンをインストールします。攻撃者がnpmレジストリへの公開権限（トークン）を取得できれば、悪意あるコードを含むバージョンを「正規のアップデート」として全利用者に配布できます。

最も注目すべきは「トークンを失効させることで攻撃がアームされる」という設計です。これは攻撃者がインシデント対応のプレイブックを研究し、防御側の行動自体を攻撃の一部として組み込んだことを示しています。具体的には、盗まれたトークンを使って侵害したパッケージのある状態を確立し、そのトークンが失効すると何らかのチェック機能が「接続失敗＝侵害発覚」と判断してペイロードを起動する仕組みとみられています。

keyvは多数のキャッシュアダプターを統一インターフェースで扱えるライブラリとして広く普及しており、npmの週間ダウンロード数は数百万件規模です。このような広く使われているパッケージを侵害することで、攻撃者は最小限の努力で最大限の影響を与えることができます。

CI/CDパイプラインにおける依存関係管理の弱点も今回の攻撃で浮き彫りになりました。多くの組織では`npm install`を自動実行するパイプラインが「最新版を常に取得する」設定になっており、セキュリティレビューなしに悪意あるパッケージが本番環境に展開されるリスクがあります。`package-lock.json`の固定化や、プライベートレジストリ（内部ミラー）の活用が対策として有効です。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER分析：サプライチェーン攻撃の進化パターン

Q. 攻撃者はnpmサプライチェーン侵害をどのように「進化・応用」していくか？

【Modify（変更）】「トークン失効がペイロードをアームする」という設計は従来手法の高度化であり、今後は「パッチ適用がトリガーになる」「特定のIPからのアクセスで起動する」など、防御行動自体を武器化する変形が増加すると予測される。 【Combine（組み合わせ）】npmワームをtyposquatting（パッケージ名の誤字を利用した偽パッケージ）と組み合わせることで、セキュリティスキャンをすり抜けながら広範囲への感染拡大が可能になる。 【Adapt（転用）】PyPI（Python）、RubyGems（Ruby）、Maven（Java）など他のパッケージエコシステムへの同手法転用が進むと予想される。言語を超えたSBOM管理の重要性が増す。 【Put to other uses（転用）】侵害したビルドホストをC2（コマンド＆コントロール）サーバーやランサムウェアの展開基盤として悪用するケースが増加する。

システム思考：CI/CDパイプラインという「盲点の攻撃面」

Q. なぜCI/CDパイプラインへのサプライチェーン攻撃は発覚が遅れるのか？

CI/CDパイプラインはセキュリティ管理の「抜け穴」になりやすい構造的特性を持っています。本番環境のネットワークやアクセス制御は厳格に管理されていても、ビルドインフラは「内部の信頼された環境」として軽視される傾向があります。 攻撃者の視点では、CI/CDビルドホストはソースコード・本番環境の認証情報・デプロイ権限の3つにアクセスできる「ゴールデンゲート」です。一度侵害すれば、そこから本番環境への侵入、顧客データへのアクセス、さらなるサプライチェーン汚染まで連鎖的に発展します。 発覚の遅れは「ビルドログに埋もれる」という構造に起因します。悪意あるコードが`npm install`中に実行されてもビルドの成功は阻害しない設計になっているため、通常のログ監視では発覚しません。ビルドホスト上でのネットワーク通信の監視と異常プロセス検知が発覚速度を上げる鍵です。

サプライチェーン攻撃への現実的な防衛策

最も即効性のある対策は`package-lock.json`の固定化（`npm ci`の使用）と、CI/CDパイプラインでの`npm audit`の強制実行です。これにより、意図しないパッケージバージョンの混入と既知の脆弱性のある依存関係を検知できます。

中長期的にはプライベートレジストリ（内部ミラー）の導入とSBOMの自動生成が有効です。特にSBOMはインシデント対応時に「いつ・どのバージョンが・どの環境に入っていたか」を即座に特定できる強力な手がかりになります。米国政府のSEOA（大統領令14028）でも要求されており、今後義務化の流れが加速すると予想されます。

06 · AI Prompt

AI対策プロンプト

あなたはサイバーセキュリティの専門家です。 【背景情報】 npmパッケージ「keyv」と「cacheable」が侵害され、悪意あるバージョンが公開されました。特筆点として、侵害されたnpmトークンを失効させることでペイロードが起動するという逆説的な設計があるため、通常のインシデント対応手順とは異なるアプローチが必要です。 【あなたの組織情報】 - 組織名・業種：[組織名・業種] - Node.js / JavaScriptの利用状況：[利用している開発プロジェクト数や規模] - CI/CDツール：[使用しているCI/CDプラットフォーム] - keyv / cacheableの利用有無：[利用している / 利用していない / 不明] - プライベートレジストリの有無：[あり / なし] 上記情報をもとに、以下を出力してください： 1. 自組織が影響を受けているかどうかを確認するための手順（コマンド例付き） 2. 「トークンを失効させる前に行うべき事前確認手順」 3. 侵害されたビルドホストのフォレンジック調査チェックリスト 4. 再発防止のためのCI/CD設定改善ロードマップ（3ヶ月計画）

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

組織名と業種を入力してください。

Node.jsを使用している開発プロジェクトの数や規模を入力してください。

GitHub Actions、CircleCI、Jenkins等を入力してください。

keyv / cacheableの利用有無を選択してください。

npm プライベートレジストリ（Verdaccio、npm Private等）の有無を選択してください。

キーワード

  • npmサプライチェーン
  • keyv
  • cacheable
  • CI/CD
  • SBOM

SOURCES · 参考情報源