🔓 Data Breaches

[2026年] Checkmarx KICS サプライチェーン攻撃、84分で秘密情報を窃取

2026年4月22日、わずか84分間の怒涛の攻撃。攻撃者はCheckmarxのKICSツールをユーザーに牙をむけさせ、DockerプルやVSCode拡張機能から認証情報を吸い上げた。これは単なる侵害ではない――サプライチェーン攻撃がいかに進化しているかの青写真だ。

ハッカーに侵害されたCheckmarx KICSイメージを持つ悪意のあるDocker Hubリポジトリ

⚡ Key Takeaways

  • 攻撃はDockerタグの再ポインティングを通じて84分間続き、KICSを介して開発者固有の秘密情報を窃取した。 𝕏
  • VSCode拡張機能は「MCP addon」を隠蔽し、多段階マルウェアをダウンロードさせた――ハードコードされたGitHub URLが主要な脆弱性だった。 𝕏
  • この期間中にプルした場合は認証情報をローテーションし、SHAをピン留めして再発を防ぐこと。 𝕏
  • SolarWindsに似ているがより高速で、開発者ツールに特化――2027年までにアテステーション義務化が予想される。 𝕏
Wei Chen
Written by

Wei Chen

Technical security analyst. Specialises in malware reverse engineering, APT campaigns, and incident response.

Worth sharing?

Get the best Cybersecurity stories of the week in your inbox — no noise, no spam.

Originally reported by Bleeping Computer

Stay in the loop

The week's most important stories from CVE Watch, delivered once a week.