The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Каталог PyPI заблокировал регистрацию с email-адресов inbox.ru из-за спама

17.07.2025 08:34

Разработчики репозитория Python-пакетов PyPI (Python Package Index) сообщили о введении блокировки использования почтовых адресов @inbox.ru при регистрации новых проектов и прикрепления дополнительных email к существующим проектам. Причиной названа волна спама, в ходе которой было заведено более 250 учётных записей и создано более 1500 проектов, вводящих пользователей в заблуждение и потенциально представляющих угрозу безопасности.

Созданные проекты использовались для резервирования имён несуществующих библиотек, ошибочно рекомендуемых большими языковыми моделями (слопсквоттинг) или похожих на названия популярных проектов. На стадии до блокировки администраторами PyPI, проекты не содержали в себе кода, но, предполагается, что в будущем их могли использовать для атак на пользователей, слепо следующих рекомендациям чат-ботов или ошибающихся при написании названий пакетов.

Например, регистрировались пакеты с именами утилит командной строки для атаки на проекты, названия библиотек и утилит в которых отличаются. Ранее проведённое исследование показало высокую эффективность метода - ChatGPT для загрузки моделей из Huggingface рекомендовал несуществующую библиотеку "huggingface-cli" и предлагал для её установки запустить команду "pip install huggingface-cli". Исследователь создал в PyPI заглушку проекта с данным именем и за три месяца её загрузили более 30 тысяч раз.

  1. Главная ссылка к новости (https://blog.pypi.org/posts/20...)
  2. OpenNews: Инциденты с безопасностью в репозиториях PyPI и crates.io
  3. OpenNews: Подмена зависимости в Python-библиотеке, насчитывающей 40 млн загрузок в месяц
  4. OpenNews: В каталоге PyPI реализована возможность перевода проектов в архив
  5. OpenNews: ИИ как новый вектор атаки на разработчиков ПО
  6. OpenNews: Каталог PyPI внедрил новую систему проверки подлинности пакетов
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63596-pypi
Ключевые слова: pypi
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (35) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, МИСАКА (?), 08:42, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    О да, ведь фишеры не найдут где ещё нарегать мыла, хоть на том же селфхост почтовике с зареганым на левые данные домене
     
     
  • 2.2, КО (?), 08:50, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • –6 +/
    Так можно белый список почт сделать раз уж на то пошло
    Если кто захочет зарегаться но не сможет? Ну туда его раз живешь не где нужно /s
     
     
  • 3.16, Аноним (16), 09:56, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это централизованные хозяяин-контролируемые каталоги - на хрен.
     
  • 2.5, Эксконтрибутор FreeBSD (?), 08:55, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Когда будут проблемы с другими проблемами заблокируют их, в чем проблема?
    Если выявлена массовая регистрация именно с этого домена, то не должны блокировать потому что он принадлежит мыловарне и это вызовет крики «русских нелюдей обижают» на разных помоечных ресурсах? Да они на хвосте крутили те помойки, где будет такая вонь, вот и все
     
     
  • 3.8, Аноним (8), 08:57, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Вот специально ради вас пойду и наделаю им тысячи регистраций с западных почтовых сервисов, пусть страдают из-за своей тупой логики, благодаря которой они не могут решить саму проблему в корне.
     
     
  • 4.15, trashanonym (?), 09:44, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Держите нас в курсе. Ваш клад в развитие инфраструктуры пакетов Python очень важен для сообщества.
     
  • 4.22, жыжа (?), 10:58, 17/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.34, Аноним (34), 16:22, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Как ты их наделаешь? У тебя есть тысячи телефонных номеров для получения смс?
     

  • 1.3, Аноним (8), 08:53, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +7 +/
    Они год назад уже Outlook блочили, у них там похоже какие-то совсем наивные люди сидят, которые блочат миллионные сервисы из-за пары сотен ящиков.

    https://blog.pypi.org/posts/2024-06-16-prohibiting-msn-emails/

     
     
  • 2.45, Аноним (45), 06:06, 18/07/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Как просто. Регистрирует злоумышленник email на любом бесплатном сервисе. Рассылает немного (!) спама. Сервис заблокирован.
     

  • 1.7, Аноним (7), 08:56, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    >о введении блокировки использования почтовых адресов @inbox.ru

    у mail.ru вроде бы же ещё домены были, не помню уже.

     
  • 1.9, Анонус (?), 09:01, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +11 +/
    и спамер такой "о нееет, тут я бессилен"
     
  • 1.17, Сергей (??), 09:58, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Основная то проблема не в ящиках от inbox.ru, а в > пользователей, слепо следующих рекомендациям чат-ботов
      С этим я думаю столкнуться и другие проекты, а не только PyPl
     
     
  • 2.19, Эксконтрибутор FreeBSD (?), 10:14, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • –4 +/
    А при чем тут чат-боты?
    К чему ты их тут пытался приплести(у тебя не вышло, кстати)?
     
     
  • 3.28, nn (??), 14:29, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    в новости упоминаются чат боты
     
  • 3.30, Сергей (??), 14:40, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >А при чем тут чат-боты?
    >К чему ты их тут пытался приплести(у тебя не вышло, кстати)?

    Если ИИ тебе посоветует подключить сторонний модуль для увеличения производительности софта, что будешь делать то...

     
     
  • 4.35, Аноним (34), 16:23, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Оптимизатор реестра.
     
     
  • 5.38, 1 (??), 17:42, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    ускоритель интернета же !
     
  • 2.27, sailorTheCat (?), 14:23, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Если пользователи вдруг поумнеют, то у питона ещё больше проблем появится.
     
     
  • 3.47, Аноним (47), 09:12, 18/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.50, Аноним (45), 13:26, 18/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Страшно подумать что будит тогда с Си и плюсами, их же насильно закроют.

    Никто их не закроет - они вечные. Потому что переписывать Windows, macOS и Linux никто в здравом уме не станет. А возня скоро закончится - иссяк уже юношеский задор.

     

  • 1.20, Аноним (20), 10:55, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    и чё так можно было! пошел решать ящики на Гугле, я тоже хакиром хочу стать
     
     
  • 2.32, Уникум (?), 15:43, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > пошел решать ящики на Гугле

    Как зарегаешь, то отпишись о результатах, если не балабол

     

  • 1.21, Аноним (21), 10:56, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    они гмыло с таким же успехом забанят, если я 2500 аккаунтов нарегаю?
     
     
  • 2.23, Аноним (23), 12:08, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не гадай, а попробуй и узнай.
     
  • 2.26, Аноним (26), 14:22, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Там к телефону привязка.
     
     
  • 3.33, фф (?), 15:47, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    как будто на inbox.ru телефон не спрашивают при регистрации
     
  • 3.36, Аноним (21), 17:23, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    сложно гмейл акки купить?
     
  • 3.40, hhrhhr (?), 20:18, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Телефон нужен один, а привязать к основному ящику дополнительных адресов можно много.
     

  • 1.42, Аноним (42), 22:17, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А ведь регистрация по номеру телефона, чтобы спама не было, правда, да?
     
  • 1.43, Аноним (43), 22:59, 17/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > 250 учётных записей

    Такое кол-во реально считается спамом?! Не миллионов, не тысяч, а просто 250?

     
     
  • 2.44, Аноним (44), 23:10, 17/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Любое количество является спамом, если выглядит как спам. Для некоторых сочетаний ключевых слов в названии достаточно одной попытки чтобы весь аккаунт улетел в блокировку и был разблокирован только после подтверждения личности и владения аккаунтом. Речь не конкретно о PyPI, но я уверен что у них свой список подобных IoCов есть. Щемить скаммерскую шваль по интернетам не только полезно, но и весело. Бонусные очки если удаётся выйти на реального человека и сдать его местным органам.
     

  • 1.46, Аноним (46), 09:07, 18/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ну, это ещё ладно. А вот то, что https://www.deepl.com/ для наших обычных людей сделали недоступным, это уже не в какие ворота...
     
  • 1.48, ckotinko (ok), 11:00, 18/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    вот она, мощь искусственного идиота в руках идиота естественного.
    два дебила это сила. скоро попрет целый вал дырявых программ, написаных таким вот образом.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру