npm の定番ライブラリ axios が乗っ取られる — インストールするだけで遠隔操作ウイルスが入る版が公開

何が起きたか

2026年3月31日（UTC）、Web システムで広く使われる JavaScript ライブラリ axios に、ウイルス入りの版（1.14.1 と 0.30.4）が公開されました。主要な開発者の PC が狙い撃ちのだまし（ソーシャルエンジニアリング）で乗っ取られ、そこにあった npm の認証情報が使われたと、開発者自身が説明しています。

ウイルス入りの版は、偽の部品（plain-crypto-js）を一緒にインストールさせ、Windows・Mac・Linux で遠隔操作ウイルス（RAT）を動かすものでした。公開から約3時間で削除されましたが、その間にバージョンを固定せずに axios を入れた環境は、すべてこの版を取り込んでいました。

影響を受けたのは

• この時間帯に npm install などで axios 1.14.1 / 0.30.4 を取り込んだ開発 PC、ビルドサーバー、CI 環境
• 自社開発や外注のシステムで JavaScript を使っている会社

自社で確認したいこと

• 該当の版を入れた端末・サーバーは乗っ取られた前提で、きれいな状態から作り直す
• その環境にあったパスワード、API キー、クラウドの鍵をすべて入れ替える
• ライブラリのバージョンを固定する（lock ファイルを使う）
• 外注先に、該当期間にビルドしていないか確認する