Досье postmark-mcp-backdoorЦепочка поставок ИИВесь мир
Обнаружен первый вредоносный MCP-сервер: npm-пакет postmark-mcp отправляет скрытые копии всех писем злоумышленнику
Koi Security обнаружила пакет-двойник postmark-mcp, версия 1.0.16 которого незаметно копировала каждое письмо, отправленное через ИИ-агентов, на адрес злоумышленника; у пакета было около 1 600 загрузок.
ВысокаяАтака на ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 25 сен. 2025
- Локация
- Весь мир
- Цель
- Пользователи postmark-mcp
- Критичность
- Высокая
- Инициатор
- Издатель npm «phanpak» (личность неизвестна)
- Тип субъекта
- Криминальный
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Koi Security обнаружила пакет-двойник postmark-mcp, версия 1.0.16 которого незаметно копировала каждое письмо, отправленное через ИИ-агентов, на адрес злоумышленника; у пакета было около 1 600 загрузок.
Последствия: По оценкам, затронуто 300 организаций; тысячи писем в день, включая сбросы паролей и счета, незаметно копировались на сервер злоумышленника
Кто стоит за инцидентом
Субъект: Издатель npm «phanpak» (личность неизвестна)
Атрибуция: Выявлено Koi Security; пакет привязан к учётной записи npm phanpak, которая поддерживала ещё 31 пакет; учётная запись позднее удалена
Мотив: Скрытый сбор содержимого писем (счета, сбросы паролей, внутренняя переписка)
Как это произошло
Вектор атаки: Доверенный npm-пакет postmark-mcp, копия официального MCP-сервера Postmark, обновлённый в версии 1.0.16 однострочным BCC на phan@giftshop.club для каждого исходящего письма
Первопричина: ИИ-агенты устанавливали непроверенные MCP-серверы от сообщества с полным доверием на отправку почты; единственный мейнтейнер мог выпустить обновление с бэкдором без какой-либо проверки
Хронология
- Опубликована версия 1.0.16 postmark-mcp со скрытой строкой BCC
- Koi Security раскрывает бэкдор; у пакета около 1 500 загрузок в неделю
- Разработчик удаляет пакет из npm, не ответив Koi
Реагирование
Пакет удалён из npm издателем; Koi, Snyk и Qualys рекомендовали удалить версии 1.0.16+, сменить учётные данные и проверить исходящую почту
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- The Hacker News thehackernews.com
- Snyk snyk.io
- Qualys threatprotect.qualys.com
Цитировать это досье
Обнаружен первый вредоносный MCP-сервер: npm-пакет postmark-mcp отправляет скрытые копии всех писем злоумышленнику. AI Threat Watch, досье postmark-mcp-backdoor, 25 сен. 2025. https://aithreat.io/ru/cases/postmark-mcp-backdoor/
Постоянная ссылка: https://aithreat.io/ru/cases/postmark-mcp-backdoor/