แพ็กเกจ npm ที่ปลอมแปลงเป็นโปรเจกต์ ‘postmark-mcp’ ซึ่งเป็นโครงการโอเพนซอร์สบน GitHub ได้กลายเป็นมัลแวร์ หลังจากมีการอัปเดตครั้งล่าสุดที่เพิ่มโค้ดเพียงบรรทัดเดียวเพื่อขโมยข้อมูลการสื่อสารทางอีเมลของผู้ใช้งานทั้งหมด
แพ็กเกจที่อันตรายนี้ถูกสร้างขึ้นมาให้เป็น สำเนาที่สมบูรณ์แบบ ทั้งในด้านโค้ดและคำอธิบาย ซึ่งดูน่าเชื่อถือจนเหมือนเป็นแพ็กเกจอย่างเป็นทางการบน npm และมีการอัปเดตมาแล้วถึง 15 ครั้งก่อนที่จะเริ่มโจมตี
เมื่อนักพัฒนาเผลอดาวน์โหลดและติดตั้งแพ็กเกจเวอร์ชันล่าสุด ข้อมูลการสื่อสารทาง อีเมล ทั้งหมดจะถูกขโมยไปอย่างเงียบๆ โปรเจกต์ที่ถูกปลอมแปลงนั้นมีชื่อว่า Model Context Protocol (MCP) ซึ่งเป็นมาตรฐานเปิดที่ออกแบบมาเพื่อให้ AI สามารถเชื่อมต่อกับเครื่องมือ, API, และฐานข้อมูลภายนอกได้อย่างปลอดภัย
เหตุการณ์นี้เป็นเครื่องเตือนใจสำหรับนักพัฒนาว่า ภัยคุกคามทางไซเบอร์สามารถซ่อนตัวอยู่ในแพลตฟอร์มที่น่าเชื่อถือ และแม้แต่การอัปเดตเพียงเล็กน้อยก็อาจนำมาซึ่งอันตรายร้ายแรงได้
อ้างอิง : Unofficial Postmark MCP npm silently stole users’ emails
