【2026/09/02】Aikido Intel 日次 — 9/1分: Malware 53 unique・脆弱性 計0件 — 内部システム偽装とtyposquatの同時観測

訂正(9/2 10:30 JST自動修復): 集計時点(07:15 JST)のフィード停滞により脆弱性0件と掲載しましたが、確定集計で回収しました。正値: Critical 2 / High 13 / Medium 13 / Low 2 + Pre-CVE 3(計33件)。

数字

マルウェア 53 / Critical 0 / High 0 / 脆弱性合計 0 / pre-CVE 0

エコシステム(生): npm 55 / firefox 3 / pypi 1 / chrome 1 / golang 1

※脆弱性0件は暫定値(フィード側の取得不能・停滞の可能性)。後日の遡及確定があり得る。

🚨 共通接頭辞「@yane88」の名称を 19 パッケージで観測

🚨 共通接頭辞「@workleap」の名称を 9 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-09-01。

新規観測（事実のみ）

脆弱性（2026-09-01 公開、CVE/GHSA 0件＋Pre-CVE 0件）

Critical / High (0)

(該当なし)

Medium / Low (0件、パッケージ単位に集約)

(該当なし)

Pre-CVE:

(該当なし)

Malware（2026-09-01 検出、53 unique／生61）

共通接頭辞別の観測数(3件以上): @yane88 19・@workleap 9

共通接頭辞を持つ複数のパッケージが同時期にまとまって観測されたことは、標的型の内部侵害や開発環境汚染を狙った意図的な配置である可能性を示唆するが、現時点で単一の主体や組織的キャンペーンと断定できる根拠はない。typosquatについても、開発者が依存関係を誤入力した際に悪意ある代替パッケージが読み込まれるリスクを改めて意識させる事例である。マルウェア検出数は前日と比べて落ち着いた水準にあるものの、こうした供給チェーン系の手法は件数の多寡に関わらず潜在的な影響範囲が広い点に留意が必要だ。

注意点

1. 依存関係ファイルに記載されたパッケージ名と実際にインストールされるパッケージ名を定期的に照合し、内部ツール名に似た外部パッケージが混入していないか確認する
2. CIパイプラインやローカル開発環境のパッケージレジストリ参照先を明示的に限定し、意図しない外部レジストリからの取得が発生しない設定になっているかを点検する
3. 脆弱性フィードに反映遅延が生じている可能性があるため、外部ソースと手動で突き合わせるなど、フィードのみに依存しない情報収集体制を一時的に補完する

連続性メモ

前日(8/31)のMalware uniqueは65、当日(9/1)は53。マルウェアの検出動向は前日から減少傾向にあり、短期的には落ち着きを見せている。ただし供給チェーンを狙った手法は継続的に観測されており、日々の数値の増減とは独立した警戒が求められる状況が続いている。