npmパッケージを悪用した標的型フィッシング攻撃：欧州・中東・米国の産業・エネルギー企業を狙撃

【なぜ重要か】 npmパッケージとjsDelivrを組み合わせた新しい標的型フィッシング手法が発見され、日本企業も同様の攻撃を受ける可能性があります。攻撃者は3ヶ月前からインフラを準備し、個別の企業・従業員を狙った高度に計画された攻撃を実行しており、従来の一般的なフィッシングとは脅威レベルが異なります。

【ポイント】

• 攻撃者は5つのnpmパッケージを作成し、フランスの複合材メーカー、スペインの風力発電会社、UAEのEV充電会社、ドイツの産業用ミキサー会社、米国のベーカリー機器会社の特定個人を標的化
• npmパッケージにフィッシングキットを埋め込み、jsDelivrのCDNを介して配信することで、自前のインフラ構築を回避し正規URLに偽装
• 偽のMicro-Share文書共有画面で工学系文書（RFQ、仕様書、CAD等）をエサに使い、その後Microsoft偽装ログイン画面でsiemens-energy[.]icuなどのタイポスクワットドメインに誘導
• WebDriver検知、マウス軌道解析（分散値100以上の「人間らしい動き」を要求）、ハニーポット入力欄など高度なbot対策を実装
• 2025年10月にSSL証明書を取得してC2インフラを準備し、2026年1月に攻撃を開始する計画的犯行

【まとめ】 npm+CDNを悪用した新手の標的型フィッシング攻撃が産業分野で活発化しており、組織はnpmパッケージの監視強化と従業員への標的型攻撃に関する教育が急務です。