ในช่วงไม่กี่ปีที่ผ่านมา การโจมตีแบบ Supply Chain Attack ได้กลายเป็นหนึ่งในภัยคุกคามไซเบอร์ที่น่ากังวลมากที่สุด โดยเฉพาะในโลกของนักพัฒนา ที่ซอฟต์แวร์โอเพนซอร์สกลายเป็นองค์ประกอบสำคัญในการพัฒนาแอปพลิเคชัน

ล่าสุดมีกรณี แคมเปญฟิชชิ่ง (Phishing Campaign) ที่มุ่งเป้าไปยังผู้ใช้งาน PyPI (Python Package Index) ซึ่งเป็นแพลตฟอร์มศูนย์กลางในการจัดเก็บและแจกจ่ายแพ็กเกจ Python ให้กับนักพัฒนา ซึ่งประเด็นนี้ได้สร้างความตระหนักใหม่เกี่ยวกับ “ความปลอดภัยของบัญชีนักพัฒนา” ที่อาจกลายเป็นประตูสู่การโจมตีห่วงโซ่อุปทาน (Software Supply Chain)

PyPI คืออะไร? ทำไมนักพัฒนาจึงต้องใช้งาน

PyPI.org คือแหล่งรวบรวมแพ็กเกจของภาษา Python ที่ใช้กันอย่างแพร่หลายทั่วโลก นักพัฒนาสามารถอัปโหลดไลบรารีที่เขียนขึ้น และเผยแพร่ให้ผู้อื่นนำไปติดตั้งใช้งานผ่านคำสั่ง pip install ได้สะดวก

PyPI ถือเป็นหัวใจของ ecosystem ภาษา Python โดยมีแพ็กเกจกว่า 500,000 รายการ ครอบคลุมทุกประเภทตั้งแต่ machine learning, web development ไปจนถึง tools ภายในองค์กร

แคมเปญฟิชชิ่งโจมตีนักพัฒนา PyPI

เมื่อปลายเดือนกรกฎาคม 2025 มีการค้นพบแคมเปญฟิชชิ่งที่จงใจหลอกเอารหัสผ่านบัญชีนักพัฒนาที่มีโปรเจกต์เผยแพร่บน PyPI โดยอาศัยความไว้วางใจที่นักพัฒนามีต่ออีเมลจาก PyPI เป็นเครื่องมือในการหลอกลวง

วิธีการโจมตี

1. แฮกเกอร์ส่งอีเมลปลอมจาก noreply@pypj.org โดยใช้หัวข้อว่า [PyPI] Email verification

2. อีเมลดังกล่าวหลอกให้ผู้รับคลิกลิงก์เพื่อ “ยืนยันอีเมล”

3. ลิงก์นำไปยังเว็บไซต์ที่ปลอมหน้าเว็บ PyPI ได้อย่างแนบเนียน (เช่น https://pypj.org/...)

4. เมื่อผู้ใช้งานกรอก username และ password ข้อมูลจะถูกส่งให้แฮกเกอร์ทันที

5. จากนั้นระบบจะ redirect กลับไปยังเว็บ PyPI จริง เพื่อกลบเกลื่อนร่องรอยและทำให้ผู้ใช้งานไม่รู้ตัวว่าโดนหลอก

เป้าหมายของแฮกเกอร์คืออะไร?

แม้การโจมตีนี้ไม่ได้เกิดจากการเจาะระบบของ PyPI โดยตรง แต่การขโมยบัญชีนักพัฒนาให้ได้ คือจุดเริ่มต้นของการโจมตีลึกเข้าไปในห่วงโซ่ซอฟต์แวร์

• อัปโหลดแพ็กเกจมัลแวร์ แทนของเดิมโดยใช้ชื่อแพ็กเกจเดิม (กรณี account ถูกยึด)

• สร้างไลบรารีปลอม (typosquatting) เลียนชื่อไลบรารียอดนิยม เช่น requestz แทน requests

• แฝงโค้ดอันตราย ในเวอร์ชันอัปเดต ทำให้ผู้ใช้งานติดมัลแวร์โดยไม่รู้ตัว

• ขยายผลสู่การติดมัลแวร์ในองค์กรหรือระบบของผู้ใช้งานปลายทาง

ตัวอย่างผลกระทบในโลกจริง

ในปี 2023-2024 ที่ผ่านมา มีหลายกรณีที่แพ็กเกจปลอมถูกอัปโหลดขึ้น PyPI หรือ NPM และถูกติดตั้งโดยผู้ใช้งานกว่าแสนคน ส่งผลให้ข้อมูลรั่วไหล หรือเครื่องผู้ใช้ติดมัลแวร์

บัญชีนักพัฒนา = ความไว้วางใจของผู้ใช้งาน

หากบัญชีนั้นถูกแฮก อันตรายไม่ได้หยุดแค่เจ้าของบัญชี แต่ลุกลามไปถึงใครก็ตามที่ติดตั้งไลบรารีจากแหล่งนั้น

วิธีป้องกันที่แนะนำ

สำหรับนักพัฒนา

• หลีกเลี่ยงการคลิกลิงก์ในอีเมลที่ไม่ได้ร้องขอ

• ตรวจสอบชื่อโดเมนให้ละเอียด (pypj.org ≠ pypi.org)

• พิมพ์ URL ด้วยตนเองเสมอ

• เปิดใช้งาน Two-Factor Authentication (2FA) กับบัญชี PyPI

• หากเผลอกรอกข้อมูลในเว็บปลอม ให้เปลี่ยนรหัสผ่านทันที และตรวจสอบ “Security History”

สำหรับองค์กร

• ให้ความรู้เรื่องฟิชชิ่งและเทคนิค social engineering กับทีม DevOps / Dev

• ใช้ระบบ Secure CI/CD pipeline ที่รองรับการตรวจสอบ Source ของ Dependencies

• ใช้ Dependency Scanning และ Static Analysis เพื่อตรวจจับไลบรารีอันตราย

• จัดทำนโยบายการใช้แพ็กเกจจาก 3rd-party อย่างเข้มงวด

ซอฟต์แวร์ปลอดภัย เริ่มต้นที่ "บัญชีผู้พัฒนา"

ภัยคุกคามทางไซเบอร์ไม่ได้จำกัดอยู่ที่ช่องโหว่ซอฟต์แวร์อีกต่อไป
แต่กำลังมุ่งเป้าไปยัง “คน” ที่มีบทบาทสำคัญต่อกระบวนการพัฒนา

ฟิชชิ่งเว็บไซต์ PyPI ปลอมครั้งนี้ เป็นสัญญาณเตือนว่า บัญชีนักพัฒนาไม่ใช่เรื่องเล็ก และองค์กรต้องให้ความสำคัญกับ security ตั้งแต่ระดับต้นน้ำของการพัฒนา