🧪 PyPI de nouveau ciblé : phishing, faux site et piratage de packages… le combo gagnant de l’été

🎣 Un bon vieux phishing, à la sauce DevSecFail

On pensait que le phishing, c’était pour Mamie et son compte Ameli ? Avec Pypi, Que nenni. En 2025, les développeurs Python sont devenus des cibles privilégiées. L’alerte vient cette fois-ci directement de la Python Software Foundation (PSF), qui signale une campagne active de phishing visant à usurper les identifiants des développeurs via un faux site PyPI. Oui, un clone presque parfait du sacro-saint pypi.org, mais hébergé sur un domaine malicieux. Et là, les conséquences vont bien au-delà d’un simple mot de passe oublié…

🕵️‍♂️ Le scénario du crime

Tout commence par un email. Propre. Convaincant. Signé, soi-disant, par la PSF, avec un objet du style :

« Your PyPI account requires verification due to security issues. »

Flippant, non ? L’objectif est clair : vous faire cliquer sur un lien qui redirige vers un faux portail PyPI, superbement maquillé pour ressembler à l’original. Et évidemment, dès que vous entrez vos identifiants… bingo, les hackers les récupèrent.

Le site frauduleux utilise des domaines comme pypi-validation[.]org, secure-pypi[.]io, ou autres joyeusetés que personne ne va vérifier quand le stress de perdre son compte monte. Une fois vos identifiants dans la poche, les attaquants peuvent publier des packages malveillants sous votre nom, compromettre des projets open source, voire injecter du code dans les chaînes CI/CD d’autres développeurs.

💥 Supply chain, le retour de la vengeance

Ce n’est pas un cas isolé : PyPI est régulièrement la cible d’attaques de type supply chain, comme l’ont montré les infections massives de packages en 2022 et 2023. Mais ici, on monte d’un cran : au lieu d’injecter directement du code malveillant, on vole les comptes de mainteneurs légitimes pour publier des mises à jour apparemment innocentes… mais contenant des scripts d’exfiltration, des backdoors, ou des crypto-miners. Miam.

Et devine quoi ? Les CI automatisées qui déploient automatiquement les nouvelles versions n’y voient que du feu. Un pipeline trop confiant, et c’est toute la prod qui part en fumée.

Voir nos précédents articles :
🧪 PyPI de nouveau ciblé : phishing, faux site et piratage de packages… le combo gagnant de l’été
🧪 Chaîne de confiance en ruine : GitHub, PyPI et la prolifération des malwares open source

🎣 Un bon vieux phishing, à la sauce DevSecFail

On pensait que le phishing, c’était pour Mamie et son compte Ameli ? Que nenni. En 2025, les développeurs Python sont devenus des cibles privilégiées. L’alerte vient cette fois-ci directement de la Python Software Foundation (PSF), qui signale une campagne active de phishing visant à usurper les identifiants des développeurs via un faux site PyPI. Oui, un clone presque parfait du sacro-saint pypi.org, mais hébergé sur un domaine malicieux. Et là, les conséquences vont bien au-delà d’un simple mot de passe oublié…

🕵️‍♂️ Le scénario du crime

Tout commence par un email. Propre. Convaincant. Signé, soi-disant, par la PSF, avec un objet du style :

« Your PyPI account requires verification due to security issues. »

Flippant, non ? L’objectif est clair : vous faire cliquer sur un lien qui redirige vers un faux portail PyPI, superbement maquillé pour ressembler à l’original. Et évidemment, dès que vous entrez vos identifiants… bingo, les hackers les récupèrent.

Le site frauduleux utilise des domaines comme pypi-validation[.]org, secure-pypi[.]io, ou autres joyeusetés que personne ne va vérifier quand le stress de perdre son compte monte. Une fois vos identifiants dans la poche, les attaquants peuvent publier des packages malveillants sous votre nom, compromettre des projets open source, voire injecter du code dans les chaînes CI/CD d’autres développeurs.

💥 Supply chain, le retour de la vengeance

Ce n’est pas un cas isolé : PyPI est régulièrement la cible d’attaques de type supply chain, comme l’ont montré les infections massives de packages en 2022 et 2023. Mais ici, on monte d’un cran : au lieu d’injecter directement du code malveillant, on vole les comptes de mainteneurs légitimes pour publier des mises à jour apparemment innocentes… mais contenant des scripts d’exfiltration, des backdoors, ou des crypto-miners. Miam.

Et devine quoi ? Les CI automatisées qui déploient automatiquement les nouvelles versions n’y voient que du feu. Un pipeline trop confiant, et c’est toute la prod qui part en fumée.

🔒 Recommandations officielles (et de bon sens)

La Python Software Foundation recommande plusieurs bonnes pratiques — qui, soyons honnêtes, devraient déjà être en place depuis des années :

• Activer le 2FA sur PyPI (obligatoire depuis juillet 2023 pour les mainteneurs).
• Utiliser des clés API, pas vos identifiants bruts.
• Vérifier l’URL avant de vous connecter (ça semble évident, jusqu’à ce qu’on vous pousse à agir dans l’urgence).
• Ne jamais cliquer sur un lien dans un email PyPI sans vérification.
• Et tant qu’on y est : changez vos mots de passe, oui, même si vous utilisez « Password1234! » depuis 2018.

🛡️ Conseils pour développeurs pas encore piratés

Pour celles et ceux qui publient sur PyPI — ou qui installent régulièrement des packages tiers — voici quelques réflexes de survie numérique :

1. Audit de dépendances : Utilisez pip-audit, safety ou bandit pour analyser vos packages.
2. Lockfiles impératifs : Gèle tes versions. Ne déploie jamais flask>=2.0.0 sans savoir ce que tu fais.
3. Surveille tes packages : Des outils comme PyUp, deps.dev ou même GitHub Dependabot peuvent t’alerter en cas de modifications suspectes.
4. CI sécurisée : Si ton pipeline build automatiquement sur chaque commit, ajoute des contrôles. Oui, même si c’est « chiant ».

📉 Impact potentiel : tout un écosystème à risque

Si ces attaques visent en apparence des individus, l’impact est systémique. Un package compromis comme requests, flask ou numpy pourrait potentiellement infecter des millions de projets downstream. On parle ici d’une propagation silencieuse, difficile à détecter, et dévastatrice à long terme.

🧠 Ce qu’on doit retenir

😑 Et après, on fait quoi ?

PyPI n’est pas le seul touché. npm, RubyGems, Docker Hub… tous les écosystèmes sont vulnérables. Ce type d’attaque ne va pas disparaître — il va se professionnaliser, devenir plus ciblé, plus subtil. L’époque des « scripts kiddies » est révolue : bienvenue dans le monde du phishing-as-a-service (PhaaS), avec hébergement, design UX et redirections HTTPS.

🧠 Moralité : si ton package awesome-cli a 50 000 installs/mois, t’es une cible. Oui, toi. Même si tu développes ça sur ton temps libre depuis 2017.

🔒 Recommandations officielles (et de bon sens)

La Python Software Foundation recommande plusieurs bonnes pratiques — qui, soyons honnêtes, devraient déjà être en place depuis des années :

• Activer le 2FA sur PyPI (obligatoire depuis juillet 2023 pour les mainteneurs).
• Utiliser des clés API, pas vos identifiants bruts.
• Vérifier l’URL avant de vous connecter (ça semble évident, jusqu’à ce qu’on vous pousse à agir dans l’urgence).
• Ne jamais cliquer sur un lien dans un email PyPI sans vérification.
• Et tant qu’on y est : changez vos mots de passe, oui, même si vous utilisez « Password1234! » depuis 2018.

🛡️ Conseils pour développeurs pas encore piratés

Pour celles et ceux qui publient sur PyPI — ou qui installent régulièrement des packages tiers — voici quelques réflexes de survie numérique :

1. Audit de dépendances : Utilisez pip-audit, safety ou bandit pour analyser vos packages.
2. Lockfiles impératifs : Gèle tes versions. Ne déploie jamais flask>=2.0.0 sans savoir ce que tu fais.
3. Surveille tes packages : Des outils comme PyUp, deps.dev ou même GitHub Dependabot peuvent t’alerter en cas de modifications suspectes.
4. CI sécurisée : Si ton pipeline build automatiquement sur chaque commit, ajoute des contrôles. Oui, même si c’est « chiant ».

📉 Impact potentiel : tout un écosystème à risque

Si ces attaques visent en apparence des individus, l’impact est systémique. Un package compromis comme requests, flask ou numpy pourrait potentiellement infecter des millions de projets downstream. On parle ici d’une propagation silencieuse, difficile à détecter, et dévastatrice à long terme.

🧠 Ce qu’on doit retenir

😑 Et après, on fait quoi ?

PyPI n’est pas le seul touché. npm, RubyGems, Docker Hub… tous les écosystèmes sont vulnérables. Ce type d’attaque ne va pas disparaître — il va se professionnaliser, devenir plus ciblé, plus subtil. L’époque des « scripts kiddies » est révolue : bienvenue dans le monde du phishing-as-a-service (PhaaS), avec hébergement, design UX et redirections HTTPS.

🧠 Moralité : si ton package awesome-cli a 50 000 installs/mois, t’es une cible. Oui, toi. Même si tu développes ça sur ton temps libre depuis 2017.

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com