【2026/08/16】Aikido Intel 日次 — 8/15分: Malware 26 unique・脆弱性 計0件 — 内部システム偽装系パッケージおよびtyposquatの混在確認

数字

マルウェア 26 / Critical 0 / High 0 / 脆弱性合計 0 / pre-CVE 0

エコシステム(生): npm 43 / firefox 2 / pypi 1

※脆弱性0件は暫定値(フィード側の取得不能・停滞の可能性)。後日の遡及確定があり得る。

🚨 共通接頭辞「depcruise」の名称を 3 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-08-15。

新規観測（事実のみ）

脆弱性（2026-08-15 公開、CVE/GHSA 0件＋Pre-CVE 0件）

Critical / High (0)

(該当なし)

Medium / Low (0件、パッケージ単位に集約)

(該当なし)

Pre-CVE:

(該当なし)

Malware（2026-08-15 検出、26 unique／生46）

共通接頭辞別の観測数(3件以上): depcruise 3

内部システム風の命名パターンは、標的となり得る組織の開発者が誤って依存関係に組み込むことを狙った手口として知られており、サプライチェーン経由の侵入を意図している可能性が考えられる。typosquatについては手法自体は古典的であるものの、依然として継続的に用いられており、攻撃者にとってコストが低い一方で検出が難しい場面もある。これらが同一の主体や同一のキャンペーンによるものかは現時点では断定できないが、命名戦略の傾向として注視していく必要がある。

注意点

1. パッケージを新規導入する際は、スペルや区切り文字をパブリックリポジトリの公式名称と厳密に照合し、わずかな差異も見逃さない習慣を徹底すること
2. 社内ツールや内部システムを想起させる名称のパッケージが外部リポジトリに存在する場合は、正規の内部配布経路と混同していないか必ず確認すること
3. 依存関係の自動解決に全面的に頼らず、ロックファイルの差分レビューやプライベートリポジトリの優先設定など、意図しないパッケージ取得を防ぐ設定を見直すこと

連続性メモ

前日(8/14)のMalware uniqueは70、当日(8/15)は26。マルウェア含有パッケージの検出は前日から減少傾向にあり、短期的には落ち着きが見られる。ただし日々の増減に一喜一憂せず、命名手口の変化に継続して目を向けることが重要である。