The Python Package Index Blog
·
新的域名网络钓鱼攻击可能会持续
💡
原文英文，约300词，阅读约需2分钟。
📝
内容提要
网络钓鱼攻击仍在持续，针对PyPI用户的邮件伪装成“账户维护和安全程序”，要求验证邮箱，链接指向非PyPI域名。若已点击，请立即更改密码并检查账户安全。PyPI正在采取措施保护用户，包括联系恶意域名注册商和提交钓鱼域名。
🎯
关键要点
- 网络钓鱼攻击仍在持续，针对PyPI用户的邮件伪装成“账户维护和安全程序”。
- 邮件要求用户验证邮箱，链接指向非PyPI域名pypi-mirror.org。
- 若已点击链接并提供凭据，建议立即更改密码并检查账户安全。
- PyPI正在采取措施保护用户，包括联系恶意域名注册商和提交钓鱼域名。
- PyPI维护者无法完全阻止此类攻击，正在采取多项措施以提高用户安全。
- 包括联系恶意域名的注册商和CDN，提交钓鱼域名到已知恶意网址列表。
- 与其他开源包管理器合作，分享更快的域名下架策略。
- 探索使用基于TOTP的双因素认证（2FA）来提高抵御钓鱼攻击的能力。
❓
延伸问答
PyPI用户如何识别网络钓鱼邮件？
钓鱼邮件伪装成“账户维护和安全程序”，要求用户验证邮箱，链接指向非PyPI域名。
如果我点击了钓鱼链接该怎么办？
建议立即更改PyPI密码，并检查账户安全历史记录。
PyPI采取了哪些措施来保护用户？
PyPI正在联系恶意域名注册商，提交钓鱼域名，并与其他开源包管理器合作。
网络钓鱼攻击为何难以完全阻止？
PyPI维护者无法完全阻止此类攻击，除非强制使用抗钓鱼的双因素认证。
如何提高抵御钓鱼攻击的能力？
可以探索使用基于TOTP的双因素认证来增强安全性。
PyPI与其他开源包管理器的合作有什么意义？
合作可以分享更快的域名下架策略，提高整体安全性。
➡️
