警惕针对 GitHub 开源维护者的定向攻击：虚假“赞助邮件”泛滥

近期 GitHub 开源社区出现一种针对项目维护者的新型钓鱼攻击模式。多名开发者反映频繁收到伪装成“商业赞助”或“资金支持”的合作邮件。攻击者利用开源工具收集仓库数据，精准定位拥有几百至数千 Star 数的个人开发者，利用其希望项目获得变现机会的心理进行诱导。这些邮件通常包含带有恶意软件的附件或指向钓鱼网站的链接，旨在窃取开发者的 GitHub 登录凭证或本地 SSH 密钥。由于项目维护者拥有代码库的写入权限，此类攻击一旦得逞，不仅会导致个人账号被盗，更可能引发严重的软件供应链安全事故。攻击者可能在代码中植入恶意逻辑，进而波及所有依赖该项目的下游应用。目前，此类攻击已呈现规模化趋势，建议开发者在处理未经请求的赞助邮件时，务必通过官方渠道核实发件人身份，避免点击邮件中的可疑链接，并确保账户开启高强度验证机制。

事件分析

核心观点：攻击者正通过针对开发者的定向钓鱼攻破软件供应链上游，开源维护者的账号安全已成为网络防御的最薄弱环节。