ソフトウェアの配布経路を汚染する「鏡像リポジトリ（Mirror）攻撃」

確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。

【背景と概要】

オープンソースソフトウェア（OSS）やLinuxディストリビューション、各種プログラミング言語のパッケージ（Python、Node.js等）は、世界中の開発者が高速にダウンロードできるよう、各地に配置された「ミラーサーバー（鏡像リポジトリ）」を経由して配布されています。

しかし、これらのミラーサーバーやキャッシュプロキシの管理が不十分であった場合、攻撃者がミラーサーバー自体をハッキングしてファイルを悪質なプログラムへすり替える「ミラーサーバー汚染（Mirror Attack）」のリスクが懸念されています。

【ミラーサーバー汚染の攻撃シナリオ】

開発者が「公式からダウンロードしている」と信じ込んでいる点が脅威となります。

1. セキュリティの甘い公式ミラーサーバーの乗っ取り

世界中に点在するボランティアやサードパーティが運営するミラーサーバーの中から、設定ミスやパッチ未適用のサーバーを探索・侵入します。

1. 正常なパッケージをマルウェア入りファイルへ差し替え

ミラーサーバー内にある正規のインストールファイルやパッケージファイルを、バックドアやインフォスティーラーが仕込まれた悪質ファイルへ静かに差し替えます。

1. 開発者・ユーザーへの広範なマルウェア感染

ユーザーがパッケージ管理コマンド（apt や pip 等）を実行した際、最も通信速度の速い近隣の汚染ミラーサーバーから自動的に悪質ファイルが読み込まれ、開発端末や本番サーバーが感染します。

【なぜ開発者が気づきにくいのか】

コマンド自体は公式の信頼できるコマンドを実行しているため、端末側や開発者自身が「危険なサイトへアクセスした」という認識を持たないためです。

【ソフトウェア配布経路を守るハッシュ検証と署名確認】

ダウンロードしたファイルの「完全性（Integrity）」を自動検証する設計が必要です。

1. GPG署名・デジタル署名の必須チェック

パッケージマネージャー側で、ダウンロードしたファイルのGPGデジタル署名が「公式開発元の公開鍵」と一致するかを自動で検証（Signature Check）する設定を強制します。署名が不一致の場合はインストールを自動拒否します。

1. チェックサム（SHA-256ハッシュ値）の突合

ファイルを読み込む際、公式のメインリポジトリが提示しているハッシュ値と、ダウンロードしたファイルのハッシュ値が一致しているかを自動チェックします。

1. 社内ローカル・キャッシュプロキシ（Artifactory等）の運用

外部のパブリックミラーへ直接アクセスさせず、社内で安全性を検証・固定した内部リポジトリ（プライベートプロキシ）経由でのみパッケージを取得させる環境を整備します。