PIB

• GitHub / axios / axios / issues / 2026-04-03: Post Mortem: axios npm supply chain compromise #10636

完全な標的型攻撃なんだけど、もう世界観がオーシャンズ11かコンフィデンシャルマンかってレベルの劇場型犯罪の様相を呈していて「事実は小説より奇なり」を地で行ってる感じ。
一次ソースから取って来いという基本とゼロトラスト思想を守っていれば防げたのだと思うが、多分、そこで防がれた場合の仕掛け、二の矢、三の矢として、より深い信頼関係を構築した上での仕掛けも用意されてたはずなので、相手が演じ続ける限り、これを防ぐのは相当の困難が伴うと思われる。
こういう攻撃が現実に行われているということは、もっと実装コストが安価な路線で、多分、Qiita とか Zenn とか no+e 辺りに有益な記事のふりしてサプライチェイン侵害トッピングした悪意のある記事がせっせと作り込まれてるんだろうなーってのは容易に想像できるのだが、昨今のサプライチェインにどっぷり依存した開発環境でこれをどう防ぐかというのは、ちょっと頭が痛い問題のように思われる。
SBOMやSLSAでサプライチェインの健全性を担保した上で、仮想環境に隔離するくらいしか思いつかないが、それで十分かと言われるとちょっと心もとない。