セキュリティ企業Trellixがソースコードリポジトリへの不正アクセスを公表、製品への影響は確認されず

概要

エンドポイントセキュリティおよびXDR（拡張検出・対応）ソリューションを提供するサイバーセキュリティ企業のTrellixは2026年5月、内部ソースコードリポジトリへの不正アクセスがあったことを公表した。同社は侵害の事実を認めつつも、「ソースコードのリリースまたは配布プロセスが影響を受けた証拠はなく、ソースコードが実際に悪用された証拠も見つかっていない」と強調している。世界中の数千の企業を守るセキュリティベンダーが攻撃を受けたことで、業界全体への影響が注目されている。

侵害の詳細と現在の対応

今回の侵害では、Trellixの内部ソースコードリポジトリの「一部」に攻撃者がアクセスしたことが確認された。しかし現時点の調査では、以下の3点が明確に否定されている。

• ソースコード配布パイプラインへの侵害：なし
• 実際の運用環境（野生下）でのコード悪用：なし
• 顧客向け製品の改ざん：なし

Trellixは侵害を特定した後、速やかに大手フォレンジック専門家を起用して調査を開始し、法執行機関にも通知した。同社は調査完了後に技術的詳細をセキュリティコミュニティと共有することを約束している。

潜在的なリスクと業界への影響

ソースコードリポジトリへの不正アクセスは、製品への直接的な改ざんがなかったとしても、複数の深刻なリスクをはらんでいる。攻撃者がソースコードを精査することで、ロジックの把握・APIや認証情報の露出・未知の脆弱性の発見・知的財産の窃取、さらにはサプライチェーン攻撃の足がかりとなる可能性がある。

同様の高プロファイルなソースコード侵害は過去にも発生しており、Microsoft・Okta・LastPassなどが類似の被害を経験している。Trellixが守る立場にある「数千の企業環境」のセキュリティに対する信頼性が問われる状況であり、調査の透明性と迅速な情報開示が求められている。

背景

Trellixは2022年1月にMcAfee EnterpriseとFireEyeの合併によって設立され、Symphony Technology Group傘下で企業向けセキュリティ製品を提供している。エンドポイント保護とXDRを中核とする同社が今回の被害を受けたことは、サイバーセキュリティ企業そのものが標的になるというリスクを改めて浮き彫りにしている。調査は現在も継続中であり、新たな情報が判明次第、公開される予定だ。