axios 含む npm パッケージ 4 件が北朝鮮サイバー部隊に侵害、Amazon が追跡

要約

Amazon のセキュリティ研究者は、過去 18 ヶ月間に npm レジストリで侵害された 4 つのパッケージ (axios を含む) が、北朝鮮関連グループ Sapphire Sleet による一連の攻撃と断定した。Sapphire Sleet はメンテナーへの社会工学的攻撃を通じて信頼されたアカウントを乗っ取り、悪意あるアップデートを公開していた。axios は npm エコシステム内で広く使用されるため、影響範囲は甚大である。修正パッチの適用と依存パッケージの再検査が急務となる。