9月17日、Rust公式チームが「Be alert: targeted attacks on prominent Rustaceans」と題した記事を公開した。rust-lang メンバーおよび人気クレートのオーナーを標的にした、マルウェア配布を目的とする標的型攻撃キャンペーンが現在進行中であることを警告するものだ。
攻撃の最終目標は、crates.io（Rustのパッケージレジストリ）への悪意あるコードの混入とみられる。著名な開発者のアカウントを踏み台にすることで、多くのRustユーザーへ被害を一気に波及させる狙いがある。Rustは近年、Linuxカーネルへの採用やAWS・Microsoftなどの主要インフラへの導入が進んでおり、エコシステムへの信頼を悪用するサプライチェーン攻撃の標的として、その魅力が高まっている背景がある。
ビデオ通話を入口にする巧妙な手口
攻撃の手口は、一見好意的な提案から始まる。就職面談、プロジェクトの相談、業務委託の打診といった名目でビデオ通話が設定され、その場で「音声コーデックが不足している」などと称してソフトウェアをインストールさせるか、クリップボードに仕込んだコマンドを実行させる。後者は「ClickFix（Pastejacking）」と呼ばれる手法で、コピー操作を偽装してターミナルに悪意あるコマンドを貼り付けさせるものだ。2025年以降、国家支援型グループを含む攻撃者に広く使われている。
攻撃者は一見本物らしい企業プロフィールを新規作成し、LinkedInのプレゼンスも整備している。表面的な調査では見破りにくく、信頼できると思える相手からの接触であっても油断は禁物だ。
サプライチェーン攻撃として見たときの深刻さ
このタイプの攻撃は、ソフトウェアサプライチェーン攻撃の一形態だ。開発者個人のデバイスやアカウントを乗っ取り、信頼されたパッケージに悪意あるコードを混入させることで、そのパッケージを利用する不特定多数の下流ユーザーへ被害を波及させる。2020年に発覚したSolarWinds攻撃（米国政府機関を広く標的にしたサプライチェーン侵害事件）や、2024年に発覚したXZ Utils バックドア事件が代表例で、手法の系統は共通している。
crates.io は月間数十億ダウンロードを誇るRustの中心的なパッケージレジストリであり、ここに悪意あるコードが混入した場合の影響範囲は広大だ。今回の攻撃対象が「著名なRustacean（Rustコミュニティの開発者の呼称）」や「人気クレートのオーナー」に絞られている点は、攻撃者がエコシステム全体への影響を最大化しようとしていることを示している。
今すぐできる対策
Rust公式チームは以下の対策を呼びかけている。
- 身に覚えのない接触（コールドアウトリーチ）には適切な警戒心を持つ
- 新たに接触してきた相手とのビデオ通話は、自分がすでに使い慣れたプラットフォームで自分が設定する形を心がける
- MFA（多要素認証）が有効になっているか確認する
- ログイン履歴が追跡できるプラットフォームで、不審なログインがないか確認する
アカウントに懸念がある場合の連絡先も明示されている。crates.io のアカウントに関する問題は help@crates.io、それ以外のセキュリティ上の懸念は security@rust-lang.org に連絡するよう案内されている。
詳細はBe alert: targeted attacks on prominent Rustaceansを参照していただきたい。
