アプリケーションセキュリティテストの専門企業Checkmarxは2022年11月、TikTokの「ハッシュタグチャレンジ」（TikTokのユーザーに特定のハッシュタグを付けたショート動画の作成と投稿を促す広告キャンペーン）を悪用したサイバー攻撃を公表した。

　「Invisible Challenge」はハッシュタグチャレンジの一つだ。TikTokユーザーが自身の裸体を撮影し、エフェクト「Invisible Body」で身体の部分を透明化した動画の投稿を促す。Invisible Challengeに目を付けたサイバー攻撃者は、TikTokユーザーに「オープンソースのツールを使えば、動画のエフェクトを除去して加工前の裸体を見ることができる」という情報を提供。その後、標的のTikTokユーザーをゲーマー向けボイスチャットツール「Discord」のサーバ「Space Unfilter」に招待する。招待を受けた標的のユーザーに、コード共有サービス「GitHub」のリポジトリへのリンクを送り付ける。

　「このツールを利用すれば、動画のエフェクトを除去できる」というのが攻撃者の説明だが、実際にエフェクトを消せるわけではない。攻撃者は配布ツールにマルウェア「WASP Stealer」を組み込んでおり、標的がツールをインストールしたデバイスのWebブラウザが保存する情報を盗み出す。具体例は以下の通りだ。

• Discordのアカウント情報
• さまざまなオンラインサービスの認証情報
• クレジットカード情報
• 暗号資産のウォレット（仮想財布）
• ファイル

　ナション氏とフォークマン氏によると、WASP Stealerはプログラミング言語「Python」のパッケージ（拡張機能）と関連がある。攻撃者は、WASP Stealerのソースコードの一部を正規のPythonパッケージから盗用した可能性があるという。

　攻撃者は、「StarJacking」という手法も使用したとみられる。StarJacking、GitHubが公開している正規パッケージの評価を乗っ取り、自身の評価を実際よりも人気があるように偽装するものだ。

　ナション氏とフォークマン氏によると、Pythonのリポジトリ「Python Package Index」（PyPI）が報告したことで、GitHubは今回問題となったリポジトリを削除した。しかし攻撃者は、すぐに新しいGitHubのアカウントを作ることができたという。TikTokは攻撃者を追放し、Discordはマルウェアの配布元になっていたサーバを停止した。だが「攻撃者は別のDiscordサーバに移動した」と両氏は主張する。

　「これらの攻撃は、サイバー攻撃者がオープンソースに注目し始めたことを示している」とナション氏とフォークマン氏は話す。両氏は、この傾向は2023年にさらに加速すると見込み、「リポジトリの管理者やセキュリティ研究者、開発者など全ての関係者が連携して攻撃からオープンソースを保護する対策を取るべきだ」と提唱する。

　後編は、巧妙化するサイバー攻撃の手口から身を守るために注意すべき点を紹介する。