Python 包索引 (PyPI) 仓库的管理员发布了有关 174 个用户帐户遭到未经授权访问的信息。PyPI 代表认为，受影响用户的身份验证凭据是从其他服务遭受黑客攻击或用户数据库泄露时收集的先前泄露的凭据集合中获取的。由于受害者在不同网站上使用了相同的密码，并且未在 PyPI 目录中启用双因素身份验证，因此 PyPI 帐户才能被访问。
在收到一系列用户投诉后，攻击者的活动才被发现。这些用户报告称，他们收到了来自 PyPI 的关于双因素身份验证激活的通知，但他们并未登录账户或进行任何更改。日志分析显示，174 个用户的账户遭到未经授权的访问。未发现数据包欺骗或其他恶意活动的痕迹——攻击者的行为仅限于未经授权的访问和账户修改。
受影响的账户已被锁定，等待调查结果。所有未启用双因素身份验证的 PyPI 用户均已收到通知，并启动了电子邮件重新验证流程。总计有 370 万用户（占目录用户总数的 56%）未启用双因素身份验证。
来源： opennet.ru
