AI開発の認証情報が標的になるとき：Djinn Stealerと新興のサプライチェーン攻撃面

AI開発クレデンシャルが標的に：Djinn Stealerと新たなサプライチェーン攻撃面

2026年6月、Blackpoint CyberのAdversary Pursuit Groupは、遠隔監視管理（RMM）ツールを標的とした攻撃活動を報告しました。攻撃者はSimpleHelpプラットフォームの認証バイパス脆弱性（CVE-2026-48558）を悪用し、IT管理者と同等のリモート管理権限を取得。その後、Djinn Stealerという情報窃取型マルウェアを展開しました。このマルウェアの設計目標は極めて明確で、開発者マシンから価値あるすべてのデジタルID——クラウドクレデンシャル、SSHキー、APIキー、サービスアカウントの認証情報、そして注目すべき新しいカテゴリーとしてAI開発ツールやエージェントのクレデンシャル——を一気に奪取することです。

RMMからAIサプライチェーンへの橋渡し

SimpleHelpは、6,000以上の組織が使用するRMMプラットフォームで、数百万のエンドポイントデバイスを管理しています。攻撃者はまず、インターネットに露出したSimpleHelpサーバーを介して脆弱性を悪用し、認証済みの技術者セッションを取得。つまり、正規のIT管理者と同じリモート制御能力を得たのです。この「信頼された」インフラの悪用自体は新しいものではありませんが、最終ペイロードの特定の標的から見ると、今回の攻撃はより深い戦略的進化を示しています。

内部ネットワークに侵入した後、攻撃者はTaskWeaverという難読化されたJavaScriptローダーを大規模に展開しました。これは正規のjsquery.jsファイルを装い、一時的なCloudflareインフラ上でホスティングされていました。このローダーは、感染システムのフィンガープリント取得、C2サーバーとの通信確立、最終的なDjinn Stealerペイロードの取得を担当します。

Blackpointの研究者は、Djinn Stealerを「開発者マシンから価値あるものをすべて一気に奪取するために構築された」と説明しています。従来のクレデンシャル種別に加えて、特にnpm、Yarn、NuGet、Composer、Maven、PyPIといったパッケージレジストリやビルドツールエコシステムの認証情報を標的にしています。これらの認証情報を取得した攻撃者は、プライベートパッケージへのアクセス、マルウェアの公開、依存関係の改ざん、サプライチェーン攻撃の実行が可能になります。

AI開発ツールが新たな攻撃面に

最も注目すべきは、Djinn StealerがClaude、Gemini、Codex、Cline、OpenCode、Kiloなどのサービスに関連するAI開発ツールやエージェントのクレデンシャルを検索するように設計されていることです。これらのローカル設定ファイルを標的にしています。最も注目すべきは、Djinn StealerがClaude、Gemini、Codex、Cline、OpenCode、KiloなどのAI開発ツールやエージェントに関連する認証情報、特にこれらのサービスのローカル設定ファイルを検索するように設計されている点です。これらのツールのほとんどはモデルコンテキストプロトコル（MCP）に依存し、AIアシスタントを開発者の外部ツールやデータ（ソースコードリポジトリ、データベース、クラウドアカウント、内部APIなど）に接続します。これらの認証情報が盗まれると、攻撃者は開発者またはAIエージェント自身の権限でデータやクラウドインフラにアクセスし、操作することが可能になります。

BlackpointのチーフMDRアナリストであるNevan Beal氏は次のように指摘しています。「AIが開発、管理、ビジネスワークフローに組み込まれるにつれて、これらのプラットフォームに関連する認証情報は脅威行為者にとってますます価値が高まっています。」Djinn Stealerの独自性は、AI関連データを狙う方法だけでなく、その収集ルールが広範囲で比較的珍しいAI開発ツールをカバーしている点にあり、さらにCI/CD認証情報、パッケージレジストリ認証、クラウド設定、ソースコード管理アクセス、従来のブラウザやウォレットデータも含まれています。この広範さは、攻撃者が現代の開発者や管理者をより広範なエンタープライズに接続するIDと統合ポイントに意識的に焦点を当てていることを示しています。

攻撃パラダイムの転換：増幅効果

セキュリティチームにとって、この侵入活動は警告です。攻撃者は信頼された管理・開発インフラにますます注目し、単一の侵入ポイントの影響を増幅させようとしています。最近の類似事例として、デンマークの製薬大手ノボノルディスク（Novo Nordisk）の漏洩事件があります。攻撃者はGitHubアクセストークンを通じて初期足がかりを得て、権限を昇格させ、1.3TBの機密データを窃取しました。

Blackpointの脅威インテリジェンスエンジニアであるSam Decker氏は、今回の攻撃を特定の脅威グループに帰属させることはできないものの、TaskWeaverとDjinn Stealerのアーキテクチャは「高価値の秘密を発見・収集することに特化した、能力があり計画的で先制的な行動」を反映していると述べています。攻撃者はまた、誤ったスペルのMicrosoftインフラを利用して偽装していました。初期C2サーバーは合法的なMicrosoft Dev Tunnelsを装い、データ流出のユーザーエージェントは通常のMicrosoftテレメトリ収集として偽装されていました。注目すべきは、Decker氏がこれは特定の標的を狙ったものではなく、インターネット上に露出した脆弱なSimpleHelpインスタンスをスキャンする日和見的なものであると考えている点です。

セキュリティアーキテクチャの再構築の必要性Djinn Stealerの出現は孤立した事例ではない。それは固まりつつある傾向を明らかにしている。攻撃者はもはやユーザーのパスワードやクレジットカード番号を盗むだけでは満足せず、デジタル帝国全体へのバックドアを開くことのできる「特権キー」――開発運用の資格情報、特にAIシステムの資格情報――を系統的に狩り始めているのだ。現代のソフトウェア工場では、CI/CDトークンやAIエージェントの設定ファイルは、企業CEOのメールパスワードよりも価値があるかもしれない。なぜなら、それらはコードリポジトリ、本番データベース、クラウドコンピューティングリソースに直接接続されているからだ。

この事件はまた、セキュリティチームに「信頼」の境界を再検討するよう迫っている。RMMツール、AI開発アシスタント、パッケージマネージャー、クラウドCLIは本来効率を高めるためのものだが、それらの広範な採用が新たな攻撃面を生み出している。攻撃者が一つの脆弱性を通じて管理者と同等の権限を取得し、その権限を利用してAI、開発、運用システムに接続するすべての資格情報を窃取できる場合、従来の境界ベースの防御は完全に無効となる。

セキュリティ従事者は、AI開発パイプラインを重要なインフラと見なす必要がある。これには、MCP設定ファイル、ローカルAIエージェントトークン、クラウドCLI資格情報に対する細粒度のアクセス制御の実施と、それらの特権IDの使用状況のリアルタイム監視が含まれる。同時に、パッケージレジストリとビルドシステムのセキュリティは、本番環境と同等のレベルに引き上げられなければならない――なぜなら、侵害されたnpm資格情報一つで、サプライチェーン全体の下流が汚染され得るからだ。

結び

Djinn StealerはAI開発資格情報に対する最後の攻撃ではない。それは新たな時代の始まりを予告している。すなわち、すべての開発者が数十のクラウドトークン、APIキー、AIエージェント設定ファイルを持つようになった今、これらのデジタルIDを保護することがサイバーセキュリティの中心的な戦場となる。攻撃者は「データの窃取」から「資格情報の窃取」へとシフトしている。なぜなら、資格情報はそれ自体がデータであると同時に、さらなるデータへの鍵でもあるからだ。組織にとっての真の課題は、一つの脆弱性を修正することではなく、開発と運用のためのアイデンティティおよびアクセス管理アーキテクチャ全体を再設計し、このような「信頼の連鎖」を標的とした攻撃に耐えられるようにすることである。