Что произошло
Пакет postmark-mcp появился в npm в середине сентября 2025 года и выглядел как MCP-сервер для отправки писем через сервис Postmark. Автор скопировал код официального проекта с GitHub и выпустил 15 нормально работающих версий, набрав доверие пользователей. В версии 1.0.16, вышедшей 17 сентября, добавилась одна строка, ставившая адрес злоумышленника в скрытую копию каждого письма. Koi Security обнаружила подмену, после чего автор удалил пакет из npm; к этому моменту его загрузили 1643 раза. 25 сентября Postmark опубликовала предупреждение: компания не публиковала свой MCP-сервер в npm и не участвовала в создании пакета.
Где нарушилась защита
Пользователи доверили стороннему пакету роль посредника между AI-агентом и почтовой системой, не проверив издателя. Обновления пакета применялись автоматически, поэтому вредоносная версия попала к тем, кто ранее установил безопасную. Агент отправлял письма штатно, и утечка не была видна ни пользователю, ни модели.
Последствия
- Письма, отправленные через пакет, включая счета, сброс паролей и внутреннюю переписку, могли копироваться злоумышленнику
- 1643 загрузки пакета до удаления
- Затронутым рекомендовано проверить журналы отправки и сменить учётные данные
Реакция
Пакет удалён из npm. Postmark опубликовала предупреждение, указала на официальный репозиторий своего MCP-сервера на GitHub и рекомендовала удалить поддельный пакет, проверить почтовые журналы и сменить ключи.
Уроки для бизнеса
- MCP-сервер получает данные и права агента, поэтому его происхождение нужно проверять как у любого поставщика
- Доверие, набранное ранними версиями пакета, не гарантирует безопасность следующих
- Утечка через агента может быть незаметной: функция работает, но данные уходят в сторону
Меры, которые предотвратили бы инцидент
- Использовать MCP-серверы только из официальных источников вендора или внутреннего реестра
- Фиксировать версии и проверять изменения перед обновлением
- Контролировать исходящие соединения и параметры писем, отправляемых агентами
- Вести реестр установленных MCP-серверов