GMO Flatt Securityが発表した2026年ソフトウェアサプライチェーン脅威レポートの概要

GMO Flatt Security、「ソフトウェアサプライチェーン脅威レポート 2026」を公開

GMOインターネットグループの一員であるGMO Flatt Security株式会社は、2026年9月3日（木）に「ソフトウェアサプライチェーン脅威レポート 2026」を発表しました。このレポートは、同社のセキュリティAIエージェント「Takumi byGMO」の「Guard」機能に基づいており、2026年2月19日から8月18日までに得られたデータを分析したものです。この181日間の観測の結果、約31,000件の悪性パッケージが発見され、その数は日々増加しています。

ソフトウェアサプライチェーンの脅威

ソフトウェア開発において、パッケージレジストリは非常に重要な存在ですが、その一方で、攻撃者にとっても絶好のターゲットとなっています。多くの開発者は新しいツールやライブラリを積極的に利用するため、パッケージの悪性に対する警戒が必要です。2026年には高頻度のソフトウェア更新が求めれる中で、正規のパッケージ更新作業を狙った攻撃が続いており、特に注目すべき事例として、ソフトウェア「axios」や「Bitwarden」関連パッケージの改ざんが挙げられます。

Takumi Guardの機能

「Takumi Guard」は、開発者が必要とするパッケージをダウンロードする際に、リアルタイムで悪性の有無をチェックします。悪性と判断されたパッケージは、開発者の端末に届く前に自動的にブロックされるため、開発者は安心して作業ができます。この機能は、簡単に導入可能で、ターミナルからのコマンド一行で起動ができます。導入後の手順変更もなく、日常の開発業務において手軽に活用できます。

見逃せない脅威の実態

GMO Flatt Securityのレポートによると、悪性パッケージの公開は日常的に行われており、新しい脅威が常に発生しています。特に報道されない小規模な悪性パッケージの侵害が日々行われていることは驚くべき事実です。観測期間中には、一度も悪性パッケージが見つからない日は存在せず、常に新しい危険が潜んでいることがわかります。

効果的な対策

開発現場には、今後も侵害が発生することを前提とし、十分な対策を講じることが求められます。最も効果的な手段は、パッケージを公開直後に利用せず、一定の待機期間を設ける「Minimum Release Age」の考え方や、Takumi Guardの導入を推奨します。これにより、悪性パッケージによるリスクを軽減することが可能です。

これからの展望

将来的には、ソフトウェアサプライチェーンに対する攻撃はさらに増加する見込みです。GMO Flatt Securityは、引き続きデータ観測を行い、その結果を開発現場にフィードバックしていく方針です。報告書の定期的な公開を通じて、攻撃の実態を可視化し、対策の優先度を明確にすることを目指しています。これにより、エンジニアがより安全に、安心して開発に専念できる環境を提供していく所存です。