สรุปการโจมตีฟิชชิงต่อ PyPI (23 กันยายน 2025)
(blog.pypi.org)สรุปการโจมตีฟิชชิงต่อ PyPI (23 กันยายน 2025)
เมื่อวันที่ 23 กันยายน 2025 มีการค้นพบแคมเปญฟิชชิงรูปแบบใหม่ที่มุ่งเป้าไปยังผู้ใช้ PyPI การโจมตีนี้ใช้วิธีส่งอีเมลปลอมเพื่อข่มขู่ว่าบัญชีจะถูกระงับ โดยอ้างให้ผู้ใช้ยืนยันที่อยู่อีเมลเพื่อ "รักษาบัญชีและดำเนินขั้นตอนด้านความปลอดภัย"
ลิงก์หลอกลวงที่อยู่ในอีเมลจะพาผู้ใช้ไปยังโดเมน pypi-mirror.org ซึ่งเป็นเว็บไซต์อันตรายที่ไม่มีความเกี่ยวข้องใด ๆ กับ PyPI หรือ Python Software Foundation (PSF) การโจมตีครั้งนี้เป็นส่วนต่อเนื่องจากแคมเปญฟิชชิงก่อนหน้า และมีลักษณะเด่นคือใช้โดเมนใหม่
PyPI กำลังดำเนินมาตรการต่อไปนี้เพื่อปกป้องผู้ใช้:
- ติดต่อผู้รับจดทะเบียนโดเมนเพื่อให้ปิดโดเมนอันตราย
- ส่งโดเมนดังกล่าวเข้าสู่รายการ URL อันตราย
- ร่วมมือกับผู้ดูแลแพ็กเกจโอเพนซอร์สรายอื่น
นอกจากนี้ PyPI ยังแนะนำแนวปฏิบัติด้านความปลอดภัยต่อไปนี้แก่ผู้ดูแลแพ็กเกจ:
- อย่าเชื่อถือหรือคลิกลิงก์ที่ไม่ได้ร้องขอซึ่งอยู่ในอีเมล
- ใช้ตัวจัดการรหัสผ่านที่มีฟังก์ชันกรอกอัตโนมัติ
- ใช้วิธีการยืนยันตัวตนแบบสองปัจจัย (2FA) ที่ป้องกันฟิชชิง เช่น hardware key
ยังไม่มีความคิดเห็น