マイクロソフトのオープンソースツールがハッキング：AI開発者リポジトリにパスワード盗むマルウェア

Microsoftは、ハッカーがパスワードを盗むマルウェアを仕込んだ後、数十のオープンソースGitHubプロジェクトを削除した。特にAI開発者を標的としており、少なくとも70のリポジトリが無効化された。多くはAzure、Claude Code、GeminiのCLI、VS Codeに関連している。

攻撃の詳細

CloudsmithとOpenSourceMalwareによると、ユーザーがAIコーディングアプリで侵害されたツールを開くと、マルウェアが保存された認証情報を盗む。影響を受けたリポジトリには、MicrosoftのクラウドサービスやAI開発ツールが含まれる。OpenSourceMalwareは、これをDurable Taskプロジェクトの「再侵害」と特定した。Durable Taskは5月中旬に初めて侵害され、初期のクリーンアップが不完全であったか、別の新たな攻撃が発生したことを示唆している。

Microsoftの対応

Microsoftの広報担当Ben Hope氏は次のように述べている：「潜在的な悪意のあるコンテンツを調査するため、いくつかのリポジトリを一時的に削除しました。調査の結果、一部のリポジトリは復元されましたが、他のリポジトリは作業が続く間オフラインのままになる可能性があります。調査の一環として、影響を受けたリポジトリからコンテンツをダウンロードした可能性のある少数の顧客に通知しました。」

GitHubには次のメッセージが表示される：「このリポジトリへのアクセスは、GitHubの利用規約違反によりGitHubスタッフによって無効化されました。」

開発者への影響

2026年5月中旬から6月8日までの間にMicrosoftのオープンソースツールをダウンロードした場合、AI開発ツールに保存された認証情報を確認してください。攻撃者は、クラウドシステムや顧客データへの特権アクセスを持つAI開発者のマシンにアクセスした可能性があります。それらの環境に保存されたパスワードやトークンをローテーションすることを検討してください。

このインシデントは、人気のあるオープンソースプロジェクトを標的にしたサプライチェーン攻撃の最新の事例である。Microsoftのような大手ベンダーにとっては珍しいが、どのリポジトリも免疫がないことを浮き彫りにしている。