crates.io предупредила о фишинге с домена rustfoundation.dev — цель в краже учётных данных GitHub

Команда crates.io и рабочая группа реагирования набезопасности Rust предупредили о фишинговой кампании. Письма приходят с домена rustfoundation.dev, который не принадлежит ни Rust Foundation, ни Rust-проекту, и предлагают авторизоваться, чтобы «ограничить ущерб» своим крейтам.

Что в письмах

Схема обычная и рассчитанная на испуг: утверждается, что инфраструктура взломана, а чтобы ограничить ущерб, нужно войти в аккаунт. Домен отправителя при этом не относится ни к фонду, ни к проекту — то есть подделка очевидна, если знать официальные адреса.

Цель — учётные данные GitHub. Подтверждений взлома инфраструктуры crates.io нет.

Что делать

Не переходить по ссылкам из таких писем и помечать их как фишинг. Домен уже передан на отзыв, за активностью на crates.io следят.

При подозрении на настоящую проблему писать на security@rust-lang.org и help@crates.io. Официальные адреса проекта — на домене rust-lang.org, сам реестр — crates.io.

Почему это стоит внимания

Фишинг, нацеленный на владельцев крейтов, опасен тем, что жертва умеет программировать и привыкла доверять письмам о безопасности. Взлом аккаунта GitHub даёт доступ к репозиториям — а значит, к возможности выпустить обновление уже зависимого крейта, которому доверяют тысячи проектов.

Оригинал

crates.io phishing campaign от 12 сентября 2025 года