Rust、偽の求人ビデオ通話についてメンテナに警告

Rust Security Response Working Groupとcrates.ioチームは2026年9月17日、Rustのコードを公開している人たちが狙われていると警告しました。誘いは、仕事や案件、契約についての友好的なビデオ通話です。狙いはメンテナの端末であり、その先にある、下流のすべてのプロジェクトへパッケージを配る公開用アカウントです。

crateはRustのパッケージです。crates.ioは、cargo buildを実行する誰にでもそのパッケージを配る公開レジストリです。したがって公開用アカウントが1つ盗まれるだけで、対象のプロジェクトに直接触れることなく、何千ものビルドに攻撃者のコードを入れられます。

偽の依頼はどう進むのか

やり方は辛抱強く、感じがよいものです。「良い話としてビデオ通話が設定される」とRustの注意喚起は述べています。問題は通話が始まってから起きます。

その場で、相手は小さな不具合の解消を求めてきます。ある手口では、不足しているオーディオコーデックの導入を頼みます。別の手口では、クリップボードにコマンドを入れ、貼り付けて実行するよう頼みます。どちらも同じ結末で、メンテナの計算機の上で攻撃者のコードが動きます。

通話の背後にある会社は、ざっと見た限りでは本物に見えます。Rustの各チームによれば、攻撃者は新しい会社の身元を用意し、それらしいLinkedInのページを与えています。Phoronixも2026年9月17日に同じ手口を報じ、警告がセキュリティワーキンググループとcrates.ioチームの連名で出たと伝えました。

Rustの投稿は、この手口が北朝鮮の手法として記録されていること、そして他の開発者コミュニティでも既に見られていることを指摘しています。

arrayrefへとつながる線

ワーキンググループは、この動きが新しいものではないと見ています。今回の通話を、開発者を狙った2026年6月の事案、そして2026年8月のarrayref crateの侵害と結び付けています。8月の事案では、arrayref、internment、append-only-vecの悪意あるリリースが、ビルドの最中に遠隔のペイロードを実行しました。crates.ioが該当バージョンを取り下げたとき、Tech AI Wireもarrayrefのサプライチェーン攻撃を伝えています。

型は一貫しています。レジストリそのものを攻めるのは難しい。公開権限を持つ人のほうが近づきやすく、名の知れた技術者に求人の話が届くのは普通のことです。

Rustの各チームがメンテナに求めていること

対策	意味
多要素認証を有効にする	パスワードだけを盗んでもcrateは公開できなくなる
すでに信頼している通話基盤を選ぶ	「参加するには導入を」という、この攻撃が頼る段階をなくす
直近のログイン履歴を確認する	心当たりのない場所から始まったセッションに気づける
不審な接触をRustまたはcrates.ioのセキュリティチームへ報告する	個々の接触を一連の動きとして結び付けられる

これが開発者にとって意味すること

実際のダウンロード数がある何かを保守しているなら、届く採用連絡を攻撃面として扱ってください。会社の確認は、相手が伝えてきた経路ではなく、自分で見つけたウェブサイトなど別の経路で行います。自分で書いていないコマンドは決して貼り付けないでください。通話を成立させるために、コーデックやドライバ、「会議用の補助ソフト」を導入しないでください。本物の雇用主は、すでにブラウザで動く基盤を使います。

鍵は日常の端末から離してください。crates.ioのトークンは、通話に使うノートパソコンには置かないことです。その端末が想定外の何かを実行したら、トークンを入れ替えます。ハードウェアを使う多要素認証は、設定の10分に見合います。セッションを盗まれても残るからです。

crateを使う側は、arrayrefの一件から実務的な教訓を1つ得られます。Cargo.lockをコミットし、長く安定していた依存が突然新しいものを引き込んだら差分を読むことです。ビルドスクリプトは、手元でもCIでも任意のコードを実行します。ピン留めはすでに手元にある制御で、費用はかかりません。