Administratorzy repozytorium pakietów Pythona PyPI (Python Package Index) opublikowali informacje o wykryciu nieautoryzowanego dostępu do 174 kont użytkowników usługi. Zdaniem przedstawicieli PyPI, dane uwierzytelniające poszkodowanych użytkowników mogły zostać pozyskane z kolekcji wcześniej skompromitowanych danych, stworzonych na skutek włamań lub wycieków baz użytkowników innych serwisów. Dostęp do kont w PyPI udało się uzyskać z powodu stosowania przez ofiary ataku tych samych haseł na różnych stronach i braku włączenia uwierzytelniania dwuskładnikowego w katalogu PyPI.
Aktywność atakujących została wykryta po otrzymaniu serii skarg, w których użytkownicy zgłaszali otrzymywanie powiadomień od PyPI o aktywacji uwierzytelniania dwuskładnikowego, podczas gdy nie logowali się w tym czasie do swojego konta i sami nic nie zmieniali. W wyniku analizy logów ujawniono dostęp osób trzecich do kont 174 użytkowników. Nie wykryto śladów fałszowania pakietów ani innej złośliwej aktywności - wszystkie działania atakujących ograniczały się do nieautoryzowanego dostępu i zmiany danych kont.
Poszkodowane konta zostały zablokowane do czasu zakończenia dochodzenia, a wszystkim pozostałym użytkownikom PyPI, którzy nie włączyli uwierzytelniania dwuskładnikowego, wysłano powiadomienia i zainicjowano proces ponownej weryfikacji ich adresów e-mail. Łącznie uwierzytelnianie dwuskładnikowe nie zostało włączone u 370 tysięcy użytkowników (56%) katalogu.
Źródło: opennet.ru
