À retenir

• Les attaquants envoient de faux e-mails prétendant provenir du Python Package Index (PyPI), attirant les développeurs vers un site de connexion frauduleux.
• Le site usurpé, pypi-mirror.org, collecte les identifiants des utilisateurs qui pourraient être utilisés pour compromettre des packages Python largement utilisés.
• Des campagnes de phishing précédentes ont déjà visé PyPI, notamment une attaque similaire en juillet utilisant le domaine pypj.org.
• La Python Software Foundation exhorte les utilisateurs à changer leur mot de passe et à activer l’authentification à deux facteurs.
• Les experts recommandent l’utilisation de clés d’authentification matérielles et de gestionnaires de mots de passe comme défenses efficaces.

Un nouvel appât dans le filet du phishing

Imaginez un vaste bazar numérique où des composants logiciels sont échangés chaque jour : c’est PyPI, le Python Package Index, la place de marché centrale du monde de la programmation Python. Mais récemment, un nouveau prédateur est entré en scène, camouflé en vendeur de confiance. La Python Software Foundation (PSF) a tiré la sonnette d’alarme : une nouvelle campagne de phishing cible les utilisateurs de PyPI, se faisant passer pour une communication officielle et attirant les développeurs vers un site imposteur quasi parfait, pypi-mirror.org.

L’arnaque est aussi vieille que la mer numérique mais reste redoutablement efficace : des e-mails avertissent les destinataires de vérifier leur compte pour des raisons de “maintenance et sécurité”. La menace de suspension agit comme un hameçon, et le lien fourni mène à une page de connexion visuellement identique à la vraie de PyPI. Saisissez vos identifiants ici, et vous aurez remis les clés de votre royaume logiciel à des attaquants inconnus.

Pourquoi c’est important : l’effet domino sur les chaînes d’approvisionnement logicielles

Le danger n’est pas seulement personnel. Si des attaquants compromettent le compte PyPI d’un développeur, ils peuvent altérer des packages de confiance - injectant des malwares ou des portes dérobées dans du code qui pourrait se retrouver dans des milliers d’applications et d’entreprises. C’est l’équivalent numérique d’empoisonner l’approvisionnement en eau d’une ville à la source. La faille SolarWinds de 2020 a montré comment les attaquants peuvent s’infiltrer profondément dans les organisations via les chaînes d’approvisionnement logicielles, et le rôle central de PyPI dans l’écosystème Python en fait une cible de choix.

Ce n’est pas la première fois que PyPI fait face à de telles menaces. Il y a quelques mois à peine, une campagne similaire utilisait le domaine pypj.org pour tromper les développeurs. Les équipes de sécurité mènent une course permanente, contactant les registraires pour faire fermer les sites malveillants, mettant à jour les listes de blocage des navigateurs et partageant des renseignements avec d’autres plateformes open source. La PSF envisage également un renforcement de l’authentification à deux facteurs et une réponse aux incidents plus rapide.

Conseils d’experts : renforcer ses défenses numériques

Shane Barney, Chief Information Security Officer chez Keeper Security, affirme que le phishing évolue mais ne disparaît pas. Il conseille que la meilleure défense est la préparation : les clés de sécurité matérielles comme les YubiKeys résistent au phishing car elles ne fonctionnent qu’avec des sites légitimes, et les gestionnaires de mots de passe empêchent le remplissage automatique des identifiants sur des sites frauduleux. Pour les organisations, la “gestion des accès privilégiés” limite les dégâts en cas de compromission, restreignant ce que les attaquants peuvent faire avec des mots de passe volés.

En résumé : les développeurs doivent rester vigilants, vérifier les URL à deux fois et ne jamais cliquer sur les liens dans des e-mails non sollicités. Partager les messages suspects avec ses pairs peut aider à protéger toute la communauté Python.

WIKICROOK

• Phishing : Le phishing est une cybercriminalité où des attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• PyPI (Python Package Index) : PyPI est le dépôt officiel en ligne pour les packages Python, permettant aux développeurs de téléverser, partager et télécharger des bibliothèques et outils de code réutilisables.
• Deux : L’authentification à deux facteurs (2FA) est une méthode de sécurité nécessitant deux types d’identification différents pour accéder à un compte, rendant le piratage plus difficile.
• Gestionnaire de mots de passe : Un gestionnaire de mots de passe est une application qui stocke vos mots de passe de façon sécurisée et ne les saisit que sur des sites vérifiés et légitimes pour éviter le vol.
• Attaque sur la chaîne d’approvisionnement : Une attaque sur la chaîne d’approvisionnement est une cyberattaque qui compromet des fournisseurs de logiciels ou matériels de confiance, propageant des malwares ou vulnérabilités à de nombreuses organisations en même temps.