案例 postmark-mcp-backdoorAI 供应链全球
首个恶意MCP服务器现身：postmark-mcp npm包将所有邮件密送给攻击者
Koi Security发现一个仿冒的postmark-mcp包，其v1.0.16版本悄悄将通过AI代理发送的每封邮件抄送给攻击者地址；该包下载量约1600次。
高针对 AI 的攻击状态: 已控制已核实案例档案
- 报道日期
- 2025年9月25日
- 地点
- 全球
- 目标
- postmark-mcp用户
- 严重程度
- 高
- 发起者
- npm发布者'phanpak'（身份不明）
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Koi Security发现一个仿冒的postmark-mcp包，其v1.0.16版本悄悄将通过AI代理发送的每封邮件抄送给攻击者地址；该包下载量约1600次。
影响: 估计约300家组织受影响；每天数千封邮件（包括密码重置和发票）被悄悄复制到攻击者服务器
谁发起了攻击
行为者: npm发布者'phanpak'（身份不明）
归因: 由Koi Security识别；软件包关联到npm账户phanpak，该账户维护着另外31个包；账户随后被删除
动机: 秘密收集邮件内容（发票、密码重置、内部通信）
如何发生
攻击途径: 受信任的npm包postmark-mcp（Postmark官方MCP服务器的副本）在v1.0.16版本中加入了一行代码，将每封出站邮件密送至phan@giftshop.club
根本原因: AI代理安装了未经审查的社区MCP服务器并赋予其完整的邮件发送信任；单个维护者即可推送带后门的更新而无需审核
时间线
- postmark-mcp 1.0.16版本发布，含隐藏的密送代码行
- Koi Security披露该后门；该包每周下载量约1500次
- 开发者在未回应Koi的情况下从npm移除该包
应对
发布者已从npm删除该包；Koi、Snyk和Qualys建议卸载v1.0.16及以上版本、轮换凭据并审计出站邮件
当前状态: 已控制
来源（在新标签页打开）
- The Hacker News thehackernews.com
- Snyk snyk.io
- Qualys threatprotect.qualys.com
引用此案例
首个恶意MCP服务器现身：postmark-mcp npm包将所有邮件密送给攻击者. AI Threat Watch, 案例 postmark-mcp-backdoor, 2025年9月25日. https://aithreat.io/zh/cases/postmark-mcp-backdoor/