npm で大規模なサプライチェーン攻撃 — chalk・debug の乗っ取りと自己増殖型「Shai-Hulud」

何が起きたか

2025年9月8日、JavaScript の部品置き場 npm で、chalk や debug など広く使われるパッケージ（18個と報じられた）に不正なコードが混ぜられました。作者が npm の偽サポートメール（npmjs.help という似せたドメイン）にだまされ、アカウントを乗っ取られたのが原因です。不正コードは暗号資産の送金先をすり替えるものでした。

続いて9月中旬には、「Shai-Hulud」と呼ばれる自己増殖型の不正コードが見つかりました。感染した開発者の環境から GitHub やクラウドの鍵を盗み、その人が管理する別のパッケージにも自分を書き込んで広がります。CISA は9月23日、500以上のパッケージが侵害されたと注意を呼びかけました。

影響を受けたのは

• 該当する版を取り込んでビルド・配布した Web サイトやアプリ
• 開発用 PC や CI（自動ビルド）で該当パッケージをインストールした環境

自社で確認したいこと

• 使っているパッケージ（間接的に入るものも含む）を確認し、侵害前の版に固定する
• 該当版を入れた環境では、npm・GitHub・クラウドの鍵や認証情報をすべて作り直す
• 開発者アカウントには、フィッシングに強い多要素認証を設定する