The Python Package Index Blog
·
新的域名网络钓鱼攻击可能会持续
内容提要
网络钓鱼攻击仍在持续，针对PyPI用户的邮件伪装成“账户维护和安全程序”，要求验证邮箱，链接指向非PyPI域名。若已点击，请立即更改密码并检查账户安全。PyPI正在采取措施保护用户，包括联系恶意域名注册商和提交钓鱼域名。
关键要点
-
网络钓鱼攻击仍在持续，针对PyPI用户的邮件伪装成“账户维护和安全程序”。
-
邮件要求用户验证邮箱，链接指向非PyPI域名pypi-mirror.org。
-
若已点击链接并提供凭据，建议立即更改密码并检查账户安全。
-
PyPI正在采取措施保护用户，包括联系恶意域名注册商和提交钓鱼域名。
-
PyPI维护者无法完全阻止此类攻击，正在采取多项措施以提高用户安全。
-
包括联系恶意域名的注册商和CDN，提交钓鱼域名到已知恶意网址列表。
-
与其他开源包管理器合作，分享更快的域名下架策略。
-
探索使用基于TOTP的双因素认证（2FA）来提高抵御钓鱼攻击的能力。
延伸解读
网络钓鱼攻击的持续性
当前针对PyPI用户的网络钓鱼攻击表明，攻击者可能会不断更换域名进行攻击。这种攻击方式不仅影响PyPI，还可能波及其他开源项目，用户需保持警惕，定期检查账户安全。
用户应采取的安全措施
如果用户不慎点击了钓鱼链接，建议立即更改密码并检查账户的安全历史。及时报告可疑活动有助于提高整体安全性，用户应积极参与保护自己的账户。
PyPI的防护措施
PyPI正在采取多项措施来应对钓鱼攻击，包括联系恶意域名的注册商和提交钓鱼域名到恶意网址列表。这些措施虽然不能完全消除风险，但能有效降低攻击成功的可能性。
双因素认证的探索
为了增强安全性，PyPI正在探索基于TOTP的双因素认证（2FA）。这种认证方式可以显著提高用户抵御钓鱼攻击的能力，建议用户关注相关更新并考虑启用此功能。
延伸问答
PyPI用户如何识别网络钓鱼邮件？
钓鱼邮件伪装成“账户维护和安全程序”，要求用户验证邮箱，链接指向非PyPI域名。
如果我点击了钓鱼链接该怎么办？
建议立即更改PyPI密码，并检查账户安全历史记录。
PyPI采取了哪些措施来保护用户？
PyPI正在联系恶意域名注册商，提交钓鱼域名，并与其他开源包管理器合作。
网络钓鱼攻击为何难以完全阻止？
PyPI维护者无法完全阻止此类攻击，除非强制使用抗钓鱼的双因素认证。
如何提高抵御钓鱼攻击的能力？
可以探索使用基于TOTP的双因素认证来增强安全性。
PyPI与其他开源包管理器的合作有什么意义？
合作可以分享更快的域名下架策略，提高整体安全性。
