【2026/08/29】Aikido Intel 日次 — 8/28分: Malware 16 unique・脆弱性 計22件 — 内部系偽装の接頭辞群・タイポスクワット並存

数字

マルウェア 16 / Critical 1 / High 7 / 脆弱性合計 18 / pre-CVE 4

エコシステム(生): npm 15 / pypi 7 / vscode 2

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-08-28。

新規観測（事実のみ）

脆弱性（2026-08-28 公開、CVE/GHSA 18件＋Pre-CVE 4件）

Critical / High (8)

Medium / Low (10件、パッケージ単位に集約)

Pre-CVE:

Malware（2026-08-28 検出、16 unique／生24）

共通接頭辞別の観測数(3件以上): (該当なし)

内部系を模した命名規則は、開発者や自動化パイプラインが誤って取得しやすい心理的な盲点を突く手口であり、組織内部の命名慣行が外部に推察される環境では特にリスクが高まる可能性がある。同一の接頭辞パターンが複数パッケージにわたってまとまって観測された点は、関連する何らかの意図が背景にあることを示唆するが、単一主体によるキャンペーンとは断定できない。マルウェア検出数は前日から減少傾向にあるものの、手口の巧妙化には引き続き警戒が必要だ。

注意点

1. 自組織の内部命名規則に似たパッケージ名がパブリックリポジトリに存在しないか定期的に確認し、依存関係の取得元を明示的にプライベートレジストリへ固定する設定を徹底する
2. CIパイプラインやローカル開発環境でのパッケージインストール時に整合性検証（ハッシュ・署名確認）を必須化し、予期しないパッケージが混入していないかログで追跡できる体制を整える
3. 別掲の脆弱性情報を速やかに精査し、自環境で利用中のコンポーネントへの該当有無を確認のうえ、優先度を付けたパッチ適用または緩和策の実施を進める

連続性メモ

前日(8/27)のMalware uniqueは68、当日(8/28)は16。マルウェア検出の水準は前日比で落ち着いた推移を見せているが、タイポスクワットと内部系偽装という異なる手口が同日に並存して観測されており、攻撃手法の多様化という傾向は継続していると見られる。引き続き複数の観点から監視を維持することが望ましい。