Claude Codeを標的とした悪意のあるnpmパッケージによる攻撃の警告

2026年5月13日、セキュリティ研究者により Claude Code を標的としたサプライチェーン攻撃の概念実証（PoC）が報告され、注意喚起が行われています。 この攻撃は、悪意のあるnpmパッケージをインストールさせることで、ユーザーの ~/.claude.json（設定ファイル）を密かに書き換えるというものです。

設定が書き換えられると、MCP（Model Context Protocol）サーバーのアドレスが攻撃者のプロキシにリダイレクトされます。 これにより、JiraやGitHubなどの外部サービスへのアクセス資格情報が奪取される恐れがあり、トークンのローテーションを行ってもプロキシが介在しているため攻撃が継続する危険性が指摘されています。