開発者のWhatsAppを無断でグループ登録する101件の悪意あるnpmパッケージが判明、累計ダウンロード数は49万回に
要点
- セキュリティ企業のOX Securityが、オープンソースライブラリを悪用して開発者のWhatsAppアカウントを無断でグループやチャンネルへ登録する101件の悪意あるnpmパッケージを特定した。
- 「PhantomSub」と命名されたこの攻撃キャンペーンによるパッケージ群は累計で49万回ダウンロードされており、直近30日間だけでも11万6000回のダウンロードが記録されている。
- パッケージには3種類の亜種が存在し、誘導先の多くはインドネシアを拠点とするボット販売やゲーム資源取引のチャンネルで、フォロワー数の水増しに利用されていた。
- 複数の異なるパッケージ間で同一のチャンネルIDやGitHubアカウントが共有されており、特定の受益者が組織的にフォロワーを集めていた実態が明らかになった。
サイバーセキュリティ企業のOX Securityは、開発者のWhatsAppアカウントを本人の同意なく特定のグループやチャンネルに強制登録させる101件の悪意あるnpmパッケージ群を特定したと発表した。
「PhantomSub」と名付けられたこのキャンペーンでは、メッセージングアプリ「WhatsApp」のオープンソースライブラリ「Baileys」を改造したパッケージが悪用されている。同社の研究者であるNir Zadok氏、Moshe Siman Tov Bustan氏、Vitalii Chepurko氏が公開した技術レポートによると、これらのパッケージは累計49万回ダウンロードされており、そのうち11万6000回は直近30日以内に発生していたという。
巧妙化するBaileysフォークと3つの実装パターン
今回の攻撃で悪用された「Baileys」は、WhatsAppのWeb APIを利用してボットなどの自動化ツールを作成するための著名なオープンソースプロジェクトである。攻撃者はこのライブラリのフォーク（派生版）を作成し、正規の機能を装いながら裏で不正な処理を実行させていた。
OX Securityの分析によると、特定された悪意あるパッケージには、グループ登録処理の実装方式に応じて3つのバリアント（亜種）が存在することが判明している。
- バリアント1（19パッケージ）: 実行時に外部のGitHubから登録対象のチャンネルIDリストを動的に取得する方式
- バリアント2（60パッケージ）: ソースコード内に登録対象のチャンネルIDを平文で直接埋め込んでいる方式
- バリアント3（14パッケージ）: ソースコード内にチャンネルIDをエンコードおよび難読化した状態で埋め込んでいる方式
確認されたパッケージ名には、「ourin-baileys」「@nexustechpro/baileys」「@badzz88/baileys」「@ostyado/baileys」「levvleys」「@vanzxy/baileys」「neuralwhatsapp」「chromestaff-baileys」「my-auto-follow」などが含まれている。
Baileysの派生パッケージを悪用した不正活動は以前から観測されていた。2026年8月にはセキュリティ企業のSafeDepが、インストールしたユーザーのWhatsAppアカウントで攻撃者が管理するチャンネルを密かにフォローさせたり、ボットが送信するすべての画像や動画に広告URLを挿入したりする一連の不正パッケージを報告していた。また、2026年9月上旬にもXygeni Securityの研究チームが、認証済みのボットセッションを攻撃者のニュースレターチャンネルに登録させる「@dappaoffc/baileys-mod」の詳細を明らかにしていた。
誘導先はボット販売やゲームアカウント取引市場
強制的に登録されるグループやチャンネルを調査したところ、その多くがインドネシアを拠点とする小規模な取引市場であることが分かった。具体的には、「Mobile Legends: Bang Bang」や「TikTok」のアカウント売買を宣伝するグループが存在し、投稿には「Dan」という名称のインドネシア向けビジネスWhatsAppアカウントに紐づく電話番号が記載されていたという。
また、確認された主要なチャンネルとフォロワー数は以下の通り報告されている。
- Fyxzpedia.ID – Utama: フォロワー数 4,800人
- CORTANA TECH: フォロワー数 1,300人
- MONTE – BMG: フォロワー数 1,000人
- Neural: フォロワー数 798人（食料、鉱石、石材、木材、金などのゲーム内資源を販売するオンライン市場「JualanRSS」の宣伝を実施）
OX Securityはこれらのチャンネルについて、ボットスクリプトやボット制作サービス、「プレミアム」と称するAPK、ソーシャルメディアのフォロワー水増しサービスの販売時に、信用（社会的証明）を得るためのフォロワー数稼ぎとして利用されていると説明している。
さらに、これらのパッケージの多くは独立して作成されたものではなく、パッケージ名や公開者が異なっていても、同一のチャンネルID、同一のリモートチャンネル一覧、同一のGitHubアカウントが使い回されていた。このことから、パッケージの公開名義にかかわらず、チャンネルの所有者がすべてのパッケージからフォロワーの流入を受けて利益を得る構造になっていたと結論づけられている。
開発者に求められる確認と対処
研究チームは、心当たりのある開発者に対して以下の対策を推奨している。
- 自身のWhatsAppアカウントが見知らぬグループやチャンネルに追加されていないか確認し、該当する場合はブロックすること
- 悪意あるBaileys派生パッケージを検知・ブロックするためのセキュリティルールを設定すること
- 個人のWhatsAppアカウントへの接続を要求するサードパーティ製パッケージの利用を控えること