正規のソースコードでも、配布ファイルが改ざんされることはありますか？

A. はい、OVHcloudの公式配布ファイルで実際に発生しました。

2026年10月19日、OVHcloudの公式GitHubで、過去に公開されたCLIツールの配布ファイルが、認証情報を盗み取るマルウェアに差し替えられました。

攻撃者はソースコードや開発・ビルド工程には手を加えず、公開済みのファイルだけを直接書き換えていました。

さらに、ファイルが正規のものか確認するための照合用データも改ざんされていたため、公式ページの情報を使った通常の確認では異常を見つけられない状態でした。

また、過去の配布ファイルを上書きできる設定だったことから、以前のバージョンも攻撃対象となりました。

今回の異常を最初に発見したのは、ツールを利用していた顧客です。

顧客側で事前に保存していた正規ファイルの情報と、ダウンロードしたファイルの情報が一致しなかったことが発覚のきっかけとなりました。

今回の事例は、ソースコードや開発工程に問題がなくても、最終的な配布ファイルが攻撃者に書き換えられる可能性を示しています。

---

👉 詳細のブログはこちら

OVHcloud CLI配布チャネル乗っ取り攻撃：コードはクリーン、バイナリはマルウェア https://constella-sec.jp/blog/hobokomo-securitynews/tips-1304/