【2026/10/13】Aikido Intel 日次 — 10/12分: Malware 64 unique・脆弱性 計3件 — 内部システム偽装の接頭辞群とtyposquatを確認

数字

マルウェア 64 / Critical 1 / High 1 / 脆弱性合計 2 / pre-CVE 1

エコシステム(生): npm 62 / huggingfac 33 / pypi 5

🚨 共通接頭辞「@revizahoshii」の名称を 13 パッケージで観測

🚨 共通接頭辞「kartykgithub」の名称を 11 パッケージで観測

🚨 共通接頭辞「@coopeuch」の名称を 5 パッケージで観測

🚨 共通接頭辞「@kartykgithub」の名称を 3 パッケージで観測

🚨 共通接頭辞「victime343」の名称を 3 パッケージで観測

🚨 共通接頭辞「@wanzlonely」の名称を 3 パッケージで観測

トレンド

過去日は前号確定値(DB)を再掲。データ日=2026-10-12。

新規観測（事実のみ）

脆弱性（2026-10-12 公開、CVE/GHSA 2件＋Pre-CVE 1件）

Critical / High (2)

Medium / Low (0件、パッケージ単位に集約)

(該当なし)

Pre-CVE:

Malware（2026-10-12 検出、64 unique／生100）

共通接頭辞別の観測数(3件以上): @revizahoshii 13・kartykgithub 11・@coopeuch 5・@kartykgithub 3・victime343 3・@wanzlonely 3・@saazkira 3

内部ツールや社内基盤を連想させる命名規則を持つパッケージ群がまとまって観測される場合、特定の組織環境を標的に絞った依存関係混乱攻撃との関連が疑われるため、引き続き慎重な評価が必要である。タイポスクワッティングについては、開発者の入力ミスや自動補完を悪用する手口として継続的に活用されており、新規パッケージ導入時の目視確認が依然として有効な対策となり得る。いずれの手口も単独では判断が難しいケースがあるため、複合的な観点での精査が望ましい。

注意点

1. パッケージを新規導入・更新する際は、名称のスペルを公式リポジトリと一文字単位で照合し、類似名称の不正パッケージが混在していないかを確認すること。
2. 内部システムや社内ツール名を想起させるパッケージ名が外部リポジトリに存在する場合、依存関係混乱攻撃の可能性を念頭に置き、公開元・メタデータ・ハッシュ値を慎重に検証すること。
3. 別掲の脆弱性情報を参照し、該当するソフトウェアやライブラリを使用している環境では速やかにバージョンを確認のうえ、パッチ適用やワークアラウンドの検討を優先的に行うこと。

連続性メモ

前日(10/11)のMalware uniqueは17、当日(10/12)は64。マルウェアの検出状況は前日から増加傾向にあり、供給チェーンを狙った不正パッケージの継続的な投入が改めて示された形となっている。引き続き観測動向を注視し、早期の異常検知体制を維持することが重要である。