The Hacker News 2026/09/19 07:14

CrowdSecのGitHubプライベートリポジトリ170件が流出、TanStackのnpmサプライチェーン攻撃が発端

要点

セキュリティ企業のCrowdSecは、2026年5月に元従業員のアカウントを悪用され、約170件のGitHubプライベートリポジトリが不正に複製されていたことを発表した。
JavaScriptライブラリ「TanStack」のnpmパッケージを狙ったサプライチェーン攻撃により、元従業員の端末から認証情報が窃取されたことが原因となった。
流出データには社内ツールのソースコードやブロックリストの判定アルゴリズムのほか、一部ユーザーおよび投資家の連絡先が含まれていた。
インフラやデータベースへの侵入およびコードの改ざんは確認されておらず、CrowdSecは認証情報の更新や端末保護の強化などの対策を実施した。
フランスのサイバーセキュリティ企業CrowdSecは2026年9月18日、同社のGitHubプライベートリポジトリ約170件が外部の攻撃者によって不正に複製されていたことを公表した。2026年5月に発生したJavaScriptライブラリ「TanStack」のnpmパッケージに対するサプライチェーン攻撃（ソフトウェアの配信元に悪意あるコードを仕込む攻撃手口）により、元従業員の端末から認証情報が盗まれたことが直接の原因だという。盗まれたデータは2026年9月16日にオンラインフォーラム上で公開されていた。

TanStack攻撃による認証情報窃取と侵入の経緯

今回の情報流出の発端となったのは、2026年5月11日に確認されたTanStackの悪意あるnpmパッケージ群（脆弱性識別番号：CVE-2026-45321）である。この攻撃では42種類のパッケージにわたり計84個の不正バージョンが公開され、導入した開発者端末からGitHubトークンやSSHキー、クラウドサービスの認証情報などを盗み出すコードが実行された。

CrowdSecの報告によると、退職直後だった元従業員のノートPCがこの攻撃により侵害され、GitHubのOAuthトークン（パスワードを使わずに特定権限を付与する認証データ）が窃取された。同社は残務処理を完了させる目的で元従業員のアカウント権限を一時的に維持していたが、攻撃者はその権限を悪用し、感染から11日後の5月22日に約170件のリポジトリを複製した。

同社は複製が行われた3日後の5月25日に元従業員のアカウントを組織から削除したものの、当時は被害を把握できていなかった。9月にデータの流出が発覚した際、トークンの履歴は社内ログに残っていなかったが、GitHubサポートの協力を得て利用履歴を追跡し、TanStack攻撃が侵入経路であったことを特定したと説明している。

流出したコードベースと個人情報

流出したリポジトリは、CrowdSecがオープンソースとして一般公開している攻撃検知エンジンではなく、同社が非公開で開発・管理していた内部資産である。

具体的には、Web管理コンソール、データサイエンス用のモデルやスクリプト、自動化スクリプトに加え、悪意あるIPアドレスを共有ブロックリストへ追加するかを判定する「コンセンサスアルゴリズム（複数拠点の検知情報を照合して合意形成する仕組み）」が含まれていた。このアルゴリズムが判定に用いる検知数の閾値（しきい値）も流出しており、これらはこれまで非公開とされていた。

さらに、リポジトリ内には個人情報も一部含まれていた。データサイエンスチームが製品の利用傾向を分析するために保持していたユーザー83名のメールアドレスと、2020年当時の古いシステムに記録されていた潜在的投資家51名の氏名、メールアドレス、投資背景情報が流出したという。

セキュリティへの影響と安全性の評価

CrowdSecは、攻撃者による不正アクセスはコードの複製に限定されており、社内インフラやデータベースへの侵入、ソースコードの改ざんは一切行われていないと強調している。また、流出したコードは約4カ月前のものであり、現行の運用環境からは大きく変更されている。

アルゴリズムの閾値流出に伴うブロックリスト汚染（無実のIPアドレスを誤遮断させる攻撃）のリスクについても、同社は否定的な見解を示している。攻撃を成立させるには、独立した複数のネットワーク上に存在する数十台の信頼された検知エンジンから偽装報告を送る必要があり、実行コストが極めて高いためだ。また、閾値自体も随時変更可能としている。

コード内に記載されていた認証情報のうち、有効だったのはAWS SNS（通知サービス）の単一トピックへメッセージを送信できるトークン1件のみで、8月17日に不正利用が試みられたものの被害拡大は阻止された。その他のトークンは事前に失効していたか、外部ネットワークからは利用できない状態だった。

再発防止策と他社への波及

CrowdSecは9月16日と17日に関連する認証情報のローテーションを実施した。インシデント発生当時は開発者端末へのエンドポイント保護ソフトウェア（端末上の脅威を検知・監視するセキュリティ製品）の導入を義務付けていなかったが、現在はコードやシステムを扱う全スタッフのPCへの導入を完了したとしている。

個人情報が流出したユーザーおよび投資家に対しては個別に連絡を行い、関係当局への報告を進める方針である。同社CEOのフィリップ・ユモー氏はレポート内で投資家に向けて謝罪を表明した。なお、約15万人にのぼる一般ユーザーに対しては特段の対応を求めていない。

同様のTanStackサプライチェーン攻撃は他社にも波及しており、AI開発企業のMistral AIで開発者端末1台、OpenAIでも従業員端末2台が影響を受け、一部の社内リポジトリへの不正アクセスが報告されている。

元URL

https://thehackernews.com/2026/09/crowdsec-says-tanstack-npm-attack-led.html