针对开发者的网络钓鱼：证书与风险

针对软件开发者的网络钓鱼攻击：虚假证书与社区风险

威胁行为者冒充开源项目负责人，利用 Slack 分发伪造的授权表单链接。这会导致凭证被截获以及恶意证书的安装，从而威胁 macOS 和 Windows 系统的安全。

现代开发者威胁的运作机制

攻击手段正从代码利用演变为对专业网络中信任关系的操纵。威胁行为者选择 Slack 等平台，因为开源和云技术项目的社区成员在此交流。通过模仿权威组织的代表，他们将受害者引导至伪装成企业服务的假冒页面。

在输入用户名和密码后，用户会被提示安装所谓的“验证”证书。实际上，这会导致恶意软件下载：在 macOS 上，可执行文件从外部服务器激活；在 Windows 上，则通过浏览器对话框进行。结果是流量被拦截，设备可能面临被控制的风险。

这些活动专门针对与开源软件管理和云实践相关的团队。OpenSSF 的首席技术官指出，重点在于内部开发流程，其中关键人物的声誉增强了欺骗的可信度。

过往事件与趋势

类似的方案此前已在 Linux 基金会的项目中被记录。今年三月，漏洞扫描器和网络请求库等工具的开发者受到影响。在一个案例中，恶意代码进入了供应链；在另一个案例中，威胁行为者通过伪造环境接管了维护者的账户。

| 平台 | 攻击目标 | 后果 |

|-----------|---------------|--------------|

| Slack | 开源开发者 | 凭证窃取 |

| Google Sites | 认证表单 | 证书安装 |

| macOS/Windows | 受害设备 | 流量拦截 |

谷歌回应称已删除假冒页面，并确认其基础设施没有问题。合法的授权程序不涉及安装证书或文件。

威胁增长原因及防护措施

攻击的增加源于开发对协作工具的依赖以及社区的开放性。威胁行为者利用社会工程学，熟人联系人的名字会降低警惕性。后果包括数据泄露、仓库被攻陷以及软件最终用户的风险。

• 通过替代渠道验证请求来源。
• 避免通过电子邮件或聊天安装证书。
• 使用多因素认证。
• 监控账户中的异常操作。
• 培训团队识别网络钓鱼。

在开源行业，这增加了对自动化工具和安全通信协议的需求。

关键点

• 该活动针对 Linux 基金会和云原生计算基金会团队。
• 恶意证书允许拦截 HTTPS 流量。
• 谷歌已移除假冒页面；官方服务不需要手动安装软件。
• 趋势：从技术漏洞转向社会操纵。
• 防护需要技术与意识的结合。

背景与长期影响

开源项目因其分布式结构而脆弱：数千名贡献者依赖信任。根据网络安全报告，80% 的开发事故与人为因素有关。此类攻击破坏了软件供应链，影响数百万云服务用户。

后果不仅限于个别团队：被攻陷可能导致后门被引入广泛使用的库中。业界正在通过引入严格政策来应对，例如强制双因素认证和使用 Sigstore 进行工件签名。最终，这将刺激实践的演变，使生态系统更能抵御社会威胁。

— Editorial Team