3億ダウンロードの信頼が裏切られた日：Axiosサプライチェーン攻撃の全貌と対策
2026年3月31日未明、JavaScriptエコシステムに衝撃が走りました。npmエコシステムで最も広く使われるHTTPクライアントの一つである`axios`が、サプライチェーン攻撃を受けたのです。この攻撃は、週間ダウンロード数約1億回、クラウド環境での採用率約80%を誇るライブラリを標的にした、npmエコシステム史上最大級のインシデントの一つです。
この記事では、攻撃の仕組み、影響範囲、そして私たちが何を学ぶべきかについて詳しく解説します。
Meta Description: 2026年3月31日、axiosがサプライチェーン攻撃を受けました。攻撃の仕組み、影響範囲、対策を解説。あなたの環境は安全ですか？
TL;DR
2026年3月31日未明、JavaScriptエコシステムで最も広く使われるHTTPクライアントの一つ`axios`が、メンテナアカウントの乗っ取りによりサプライチェーン攻撃を受けました。攻撃者はaxiosのソースコードには一切手を加えず、`plain-crypto-js`というダミー依存関係を注入するだけで、macOS・Windows・Linux全対応のRAT（Remote Access Trojan）を展開しました。
悪意あるバージョンが公開されてから最初の感染が確認されるまでわずか89秒。約3時間の公開ウィンドウで、計り知れない数のCI/CDパイプラインと開発者環境が危険にさらされました。
攻撃タイムライン
この攻撃は即興ではなく、約18時間をかけて綿密に準備されたキャンペーンでした。