オープンソースの供給チェーン狙い打ち、Google が対策ガイド公開

要約

Google Threat Intelligence Group は、オープンソースソフトウェアリポジトリを狙った供給チェーン侵害キャンペーンが 2025 年から 2026 年前半に大規模化していると報告した。SolarWinds (2020) や 3CX (2023) に続き、マルウェア挿入やアカウント乗っ取りを通じた攻撃が増加している。組織は依存パッケージの定期監査、リポジトリアクセス権限の厳格化、成果物署名検証の実装を即座に検討すべき。