npmミラーを“無料ホスティング”に悪用 — 24パッケージでフィッシング誘導、OX Securityが報告

npmレジストリとそのミラー配信の仕組みを悪用し、攻撃者がフィッシング誘導ページを正規の開発者向けドメインから配信していたことが明らかになった。ソフトウェアサプライチェーンセキュリティを手がけるOX Securityが2026年8月に報告した内容で、24件のnpmパッケージにCloudflareのCAPTCHAを偽装したHTMLが含まれ、UNPKGやnpmmirrorなどのミラーを通じてブラウザで直接表示可能な状態になっていた。

何が起きたか — npmを“無料のストレージ”として悪用

OX Securityによると、攻撃者はnpmにHTMLファイル1件とpackage.jsonだけを含む極めて小さいパッケージを投稿した。パッケージをインストールしても開発者のPCが感染するわけではない。狙いは、npmレジストリとそれを複製するミラーを、安全で信頼されたストレージとして使うことだった。

一部のミラーは、パッケージ内の個別ファイルをブラウザで直接開けるURLを提供する。たとえば https://unpkg.com/<パッケージ名>@1.0.0/index.html のような形式だ。このURLを開くと、攻撃者が用意したHTMLが unpkg.com という正規ドメインから描画される。攻撃者自身のドメインではないため、ブロックリストやセキュリティ製品の検知を回避しやすくなる。OX Securityは、この手法を「npmミラーを無料のフロントエンドホスティングに変える手口」と表現している。

BleepingComputerが確認したパッケージでも、内容は index.html と、それをmainに指定した package.json の2ファイルのみだった。OX Securityが発見した24件はいずれも同様の構造だった。

誘導の仕組み — 偽CAPTCHAと難読化されたリダイレクト

悪性HTMLは、Cloudflareの正規のTurnstile CAPTCHAを埋め込んだ偽のセキュリティ検証画面を装う。利用者がボタンを押すかどうかにかかわらず、裏側では難読化されたJavaScriptが実行され、訪問者を外部サイトへリダイレクトする。

OX Securityのリサーチ責任者であるMoshe Siman Tov Bustan氏がBleepingComputerに語ったところでは、7月時点の初期バージョンは microcloud.homes へ、8月には login.microsofte.live へリダイレクトしていた。初期の検体では最終的に正規のMicrosoft Outlookログイン（https://outlook.office.com/mail）へ遷移するものもあったが、OX Securityはこのドメインが現在は停止しており、将来的に偽のMicrosoftログインページ等へ差し替えられる可能性を指摘している。

より新しいパッケージでは、 api.keyval.org という正規のKey-Valueストアサービスを経由する手法も確認された。ブラウザ上で暗号化された値を取得して復号し、その結果のURLへリダイレクトする仕組みだ。攻撃者はnpmパッケージ自体を更新・再公開しなくても、Key-Value側の値を書き換えるだけで誘導先を遠隔で切り替えられる。OX Securityの調査時点では、復号後のURLは正規のChatGPTサイトを指していたが、同社はこの仕組みがいつでもClickFix型の偽画面やフィッシングへ切り替わり得ると警告している。

BleepingComputerがUNPKG上で検証したHTMLも、現在はOutlookの正規ログインページへリダイレクトすることを確認している。今回レビューされたHTML自体はClickFix攻撃を実行していなかったが、OX Securityは同インフラがフィッシング、マルウェア配布、その他攻撃者管理下のサイトへの誘導に転用可能だとしている。

なぜ検知が難しいのか — 信頼されたドメインとミラーの残留

この手口の厄介さは2点にある。第一に、悪性コンテンツが信頼されたドメイン（unpkg.com など）から配信されるため、ドメインベースのブロックやレピュテーション判定をすり抜けやすい。第二に、npmレジストリ側でパッケージが削除されても、ミラー側にコピーが残り続ける場合がある。削除後も一定期間、あるいは設定によっては半永久的にアクセス可能な状態が続く。

OX Securityは「攻撃者が新しい手法で正規インフラを悪用し、ペイロードやデータを保存し続けている」と述べ、npmミラーへの直接的なHTMLリクエストを潜在的に不審なものとして扱うことを推奨している。具体的には、開発組織が利用するプロキシやDNS、ブラウザ分離製品等のログで unpkg.com や npmmirror.com 等への *.html 直接アクセスを監視し、想定外のアクセスがあれば調査対象とすることが有効だ。

日本国内でもnpmはWeb開発や業務アプリケーションで広く使われており、開発者がパッケージをインストールしなくても、従業員が検索結果やチャットで共有されたリンクをクリックすることでミラー上の悪性HTMLへ誘導される恐れがある。リンクのドメインが一見正規に見えても、パスに /index.html を含むunpkg等の直リンクは安易に開かない運用が求められる。

出典

• OX Security, “ClickFix Phishing Pages Discovered in 24 npm Packages” https://www.ox.security/blog/research-clickfix-phishing-npm-packages/
• OX Security Blog https://www.ox.security/blog/