注目★★★★★Google Cloud
オープンソースの供給チェーン狙い打ち、Google が対策ガイド公開
30秒で把握
- 1Google GTIG、2025〜2026 年前半にオープンソースリポジトリ狙いの供給チェーン侵害キャンペーン多発を警告
- 2SolarWinds・3CX 以降、マルウェア挿入とアカウント乗っ取りで開発環境が直撃対象に転換
- 3依存パッケージ監査・リポジトリアクセス権限厳格化・成果物署名検証が即時対策の三本柱
要約
Google Threat Intelligence Group は、オープンソースソフトウェアリポジトリを狙った供給チェーン侵害キャンペーンが 2025 年から 2026 年前半に大規模化していると報告した。SolarWinds (2020) や 3CX (2023) に続き、マルウェア挿入やアカウント乗っ取りを通じた攻撃が増加している。組織は依存パッケージの定期監査、リポジトリアクセス権限の厳格化、成果物署名検証の実装を即座に検討すべき。
あなたへの影響
自社システムがオープンソースに大きく依存している開発チームは、直近の依存パッケージ一覧の棚卸しと。
推奨：リポジトリアクティビティ (アカウント追加・権限変更・急激な更新) の監視体制をこの四半期に導入することが、後手に回らないための最小限の対策となり得る。