近期 GitHub 开源社区出现一种针对项目维护者的新型钓鱼攻击模式。多名开发者反映频繁收到伪装成“商业赞助”或“资金支持”的合作邮件。攻击者利用开源工具收集仓库数据，精准定位拥有几百至数千 Star 数的个人开发者，利用其希望项目获得变现机会的心理进行诱导。这些邮件通常包含带有恶意软件的附件或指向钓鱼网站的链接，旨在窃取开发者的 GitHub 登录凭证或本地 SSH 密钥。由于项目维护者拥有代码库的写入权限，此类攻击一旦得逞，不仅会导致个人账号被盗，更可能引发严重的软件供应链安全事故。攻击者可能在代码中植入恶意逻辑，进而波及所有依赖该项目的下游应用。目前，此类攻击已呈现规模化趋势，建议开发者在处理未经请求的赞助邮件时，务必通过官方渠道核实发件人身份，避免点击邮件中的可疑链接，并确保账户开启高强度验证机制。
事件分析
从网络安全视角来看，这是一种典型的针对软件供应链上游环节的“定点打击”。攻击逻辑已经从单纯寻找软件漏洞，转向寻找“人”的漏洞——即利用开源维护者通常缺乏企业级安全防护这一弱点。由于开源项目依赖关系的传递性，攻克一个中等规模项目的维护者账号，往往能以低成本攻击到核心商业系统。技术上，这暴露出当前开源生态在身份认证环节的脆弱性。虽然代码托管平台提供了 2FA 等安全措施，但在社交工程学攻击面前，人的判断失误往往是防线失守的第一步。这也预示着未来针对开发者的社会工程学攻击将更加频繁和精细化，平台方可能需要引入更智能的邮件来源识别与警告机制，以阻断此类攻击链。
核心观点：攻击者正通过针对开发者的定向钓鱼攻破软件供应链上游，开源维护者的账号安全已成为网络防御的最薄弱环节。
原文链接：V2EX 分享发现
