偽「tanstack」パッケージが27分間で4バージョン公開、.envファイル窃取を狙う

【なぜ重要か】 攻撃者がnpmで人気の@tanstackライブラリと紛らわしい「tanstack」パッケージを悪用し、開発者の環境変数ファイルを窃取する攻撃を実行しました。postinstallフックを使った自動実行により、npm installするだけで.envファイルが外部に送信される仕組みです。

【ポイント】

• 2026年4月29日、攻撃者がtanstack@2.0.4〜2.0.7を27分間で連続公開し、リアルタイムでペイロードを調整
• postinstallスクリプトが.env、.env.local等の環境変数ファイルを読み取り、Svixのwebhookエンドポイントに送信
• AWS認証情報、GitHub トークン、データベース接続文字列、各種API キーなど重要な認証情報が標的
• 正規の@tanstackパッケージと無関係だが、名前の類似性とポリッシュされたREADMEで開発者を欺瞞
• バージョン2.0.6では単一ファイル指定から全ディレクトリスキャンに変更され、より多くの.envファイルを捕捉

【まとめ】 名前スクワッティングとpostinstallフックを組み合わせたシンプルだが効果的な認証情報窃取攻撃です。該当バージョンをインストールした場合は即座に全ての認証情報をローテーションし、今後はパッケージ名の確認とセキュリティツールの導入を検討すべきです。