平素より「ホテルスマート」をご利用いただき、誠にありがとうございます。
2026年8月4日に公表されたnpmパッケージを対象とするサプライチェーン攻撃について、当社サービスへの影響有無を調査いたしました。
調査の結果、現時点において当社サービスおよびお客様データへの影響は確認されておりません。
また、認証情報の漏洩につながる事象も確認されておりませんので、ご報告いたします。
1. 事象の概要
2026年8月4日、広く利用されているnpmパッケージ（keyv、cacheable系ほか）に対し、認証情報を窃取する不正コードが混入され、自己増殖的に拡散する攻撃が公表されました。
Node.js／npmを利用する開発環境およびCI環境が影響対象とされています。
2. 実施した調査
- 攻撃対象として公表されたパッケージおよびバージョンの、当社システムにおける利用有無の確認
- 攻撃公表日以降の依存関係更新状況の全ブランチ確認
- 公表されている不正プログラムの実行痕跡の有無の確認
3. 調査結果
| 確認項目 | 結果 |
|---|---|
| 対象パッケージの利用 | 影響対象バージョンの利用なし |
| 不正プログラムの実行痕跡 | 検出なし |
| 認証情報の漏洩につながる事象 | 確認されず |
当社の主要システムにおいて、攻撃対象として公表されたバージョンの利用はございませんでした。
一部システムで同名パッケージを利用しておりますが、いずれも影響を受けないバージョンであることを確認しております。
また、公表されている不正プログラムの実行痕跡に基づき確認を行い、該当する痕跡は検出されませんでした。
以上の調査結果から、現時点において認証情報の漏洩につながる事象は確認されておりません。
4. 平時からの対策
当社では、本事象以前より、外部パッケージ導入時の検査、依存バージョンの固定、ビルド環境における不正なスクリプト実行の抑止など、サプライチェーン攻撃を想定した多層的な対策を運用しております。
今回公表された攻撃手法についても、既存の対策によりリスクを低減できる構成であることを確認しております。
5. 今後の対応
引き続き、外部パッケージの脆弱性および攻撃情報の監視を継続し、お客様に安心してご利用いただける環境の維持に努めてまいります。
本件に関するお問い合わせは、担当営業またはサポート窓口までご連絡くださいませ。