mastra ソフトウェアサプライチェーン攻撃の概要と対応指針 - GMO Flatt Security Blog

皆さんは、普段何気なく使っているスマートフォンのアプリやパソコンのソフトウェアが、実はたくさんの部品の組み合わせでできていることをご存知でしょうか？例えるなら、レゴブロックで複雑なロボットを作るように、たくさんの小さなプログラムの部品（これを「パッケージ」と呼びます）を組み合わせて一つの大きなソフトウェアが作られています。

今回話題になっている「mastra」というソフトウェアの件は、この「部品」に悪意のあるものがこっそり紛れ込んでしまった、というお話です。これを専門用語で「ソフトウェアサプライチェーン攻撃」と呼びます。サプライチェーンとは、製品が作られて消費者の手元に届くまでの全ての工程のこと。ソフトウェアの世界でも同じで、様々な部品（パッケージ）が開発者から開発者へと渡り、最終的な製品になるまでの流れがあります。今回の攻撃は、この流れの途中で、悪性の部品「easy-day-js」が混ぜ込まれてしまった、というわけです。

想像してみてください。皆さんが大好きなハンバーガーを注文したら、お店の人が知らずに、提供元から送られてきた具材の中に毒が仕込まれていた、というようなものです。お店側もまさか毒が入っているとは思わないので、そのままお客さんに提供してしまうかもしれません。ソフトウェアの世界でも、開発者が他の人が作ったパッケージを使う際、その中に悪意のあるコードが仕込まれているとは夢にも思わず、自分のソフトウェアに組み込んでしまうことがあります。そして、そのソフトウェアを使うユーザーも、まさか悪意のあるコードが含まれているとは思わないまま利用してしまうのです。

このような攻撃は、非常に厄介です。なぜなら、攻撃者は直接皆さんのパソコンやスマホに攻撃を仕掛けるのではなく、皆さんが信頼しているソフトウェアの開発者を騙して、悪意のあるコードを間接的に送り込むからです。まるで、信頼できる友人のふりをして、知らないうちに皆さんの家に侵入するような手口と言えるでしょう。

今回の「mastra」の事例は、開発者コミュニティ全体にとって、サプライチェーンの安全性を改めて見直すきっかけとなります。普段使っているオープンソースのパッケージが安全かどうか、どうやって確認するのか。もし悪意のあるパッケージが混入してしまった場合、どのように迅速に対応し、被害を最小限に抑えるのか。これらの課題に、業界全体で取り組んでいく必要性が浮き彫りになりました。私たちユーザーも、利用しているソフトウェアのアップデートをこまめに行うなど、基本的な対策を怠らないことが大切です。