Notepad++が侵害された – 何が起こったのか、そしてPCを保護する方法とは？

• Notepad++のホスティングプロバイダーアカウントは、2025年6月から12月の間に乗っ取られました。
• 攻撃者は、内蔵アップデート機能のユーザー向けのアップデートトラフィックを悪意のあるサーバーにリダイレクトした。
• リスクにさらされたのは、内蔵のアップデート機能を使用してアップデートを行ったユーザーのみでした。公式ソースからの手動ダウンロードは安全でした。
• アプリのバイナリファイルは侵害されていません。この攻撃は、脆弱なアップデート検証制御を悪用したものです。
• 開発者たちは、セキュアなホストに切り替え、認証情報を定期的に更新し、WinGupアップデーターの検証機能を改善しました。

Windows 11の標準メモ帳アプリの代替として広く利用されているNotepad++は、2025年6月から12月の間に、ホスティングプロバイダーのアカウントが悪意のある攻撃者によって侵害されたことを確認した。この侵害により、攻撃者は改ざんされたアップデートマニフェストを介して、一部のユーザーを悪意のあるサーバーにリダイレクトすることができた。

公式発表によると、セキュリティ専門家はNotepad++の旧ホスティングプロバイダーにおいてインフラレベルの侵害を確認した。攻撃者はこのシステムを悪用し、notepad-plus-plus.org宛てのアップデートトラフィックを傍受し、一部のユーザーを標的に悪意のあるアップデートファイルを送信した。アナリストらは、この攻撃が標的を絞ったものであることから、大規模なマルウェア攻撃ではなく、スパイ活動の一環だった可能性が高いと指摘している。

悪意のある人物は当初、2025年9月2日までホスティングサーバーへのアクセスを維持していました。直接アクセスできなくなった後も、2025年12月2日まで内部サービス認証情報を保持し、更新トラフィックの傍受を継続していました。この攻撃は、更新検証制御の不備など、旧バージョンのNotepad++に存在する既知の脆弱性を悪用したものです。

誰が影響を受けたのか？

2025年6月から12月の間に内蔵のアップデーターを使用してNotepad++をアップデートしたユーザーのみが影響を受けました。ただし、公式ウェブサイトまたはGitHubのリリースからインストーラーを手動でダウンロードしたユーザーは影響を受けませんでした。

セキュリティアナリストらは、大規模なコマンド＆コントロール攻撃や広範囲にわたるシステム悪用の証拠はないと断言している。今回の攻撃は標的を絞った攻撃であり、特定の組織または個人を狙った可能性が高い。

修復とセキュリティ強化

アプリ開発者によると、Notepad++は将来的なインフラレベルの侵害を防ぐため、より安全な新しいホスティングプロバイダーに切り替えたとのことです。

以前のプロバイダーの内部認証情報はローテーションされ、攻撃者による残存アクセス権限はすべて無効化されました。

アプリのアップデーターであるWinGupは、バージョン8.8.9で機能強化され、証明書とインストーラーの署名の両方を検証するようになり、アップデートのダウンロードのセキュリティが強化されました。

このメモアプリは、今後数週間以内にバージョン8.9.2がリリースされる予定で、すべてのアップデートにおいて厳格なXMLDSig証明書と署名の検証が義務付けられ、改ざんやリダイレクト攻撃からユーザーをさらに保護する。

ユーザーは何をすべきでしょうか？

Notepad++チームは、すべてのユーザーに対し、バージョン8.9.1以降に手動でアップデートし、SSH、FTP、MySQLデータベースなど、以前のホスティング環境に関連付けられていたすべてのサービスの認証情報をリセットすることを強く推奨します。

影響を受けた期間中に内蔵のアップデート機能を使用してアップデートを行った場合は、念のためウイルス対策ソフトでフルスキャンを実行することをお勧めします。

今回の事件は、サプライチェーン攻撃のリスクと、ソフトウェアの入手元やダウンロードの信頼性を確認する必要性を改めて認識させるものです。信頼できる開発者アカウントでさえ乗っ取られる可能性があり、堅牢なホスティングセキュリティと厳格なアップデート検証の重要性が浮き彫りになりました。