Un faux serveur postmark-mcp copie en secret les courriels envoyés par des assistants IA vers un attaquant
Un paquet npm nommé postmark-mcp, se faisant passer pour un serveur MCP du service de messagerie Postmark, a ajouté dans sa version 1.0.16 une copie cachée (BCC) qui transmettait chaque courriel envoyé par son intermédiaire à une adresse d’un domaine contrôlé par l’attaquant. Les assistants IA qui utilisaient ce serveur pour envoyer des courriels divulguaient donc chaque message à l’insu des utilisateurs. Postmark a déclaré n’avoir aucun lien avec ce paquet, qui a disparu de npm après que Koi Security a contacté son éditeur.
L’éditeur avait gagné la confiance sur 15 versions avant d’ajouter la porte dérobée, et CSO Online a fait état d’environ 1 500 téléchargements hebdomadaires. Il était conseillé aux utilisateurs de supprimer le paquet, de renouveler tous les identifiants envoyés par courriel et d’auditer les serveurs MCP qu’ils exécutent.
Ce qui l’aurait évité
N’installer des serveurs MCP que d’éditeurs vérifiés, et figer puis examiner les versions avant toute mise à jour.
Garde-fous
- G1 Moindre privilège Défaillant Le serveur MCP disposait d’un accès complet à l’envoi de courriels des utilisateurs, avec les privilèges de l’assistant.
- G2 Validation humaine Non évalué Une personne a-t-elle approuvé l’étape lourde de conséquences ou irréversible ?
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Défaillant Un outil tiers piégé a été installé et utilisé sans vérification de son éditeur ni de ses mises à jour.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Défaillant La copie cachée est restée invisible pour les utilisateurs jusqu’à ce qu’un scanner externe signale la version 1.0.16.
- G8 Réversibilité Défaillant Les courriels copiés ne peuvent être rappelés ; la suppression du paquet n’a pas effacé les copies installées.
Sources
-
“Here's what happened: A malicious actor created a fake package on npm impersonating our name, built trust over 15 versions, then added a backdoor in version 1.0.16 that secretly BCC’d emails to an external server.”
-
“Current analysis suggests the behavior began around 1.0.16 and persisted in later versions.”
-
“Once the version was published, each time the tool sent an email, it also silently forwarded a copy to phan@giftshop.club, a domain tied to the attacker.”
L’indice de confiance de 89 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 3 sources