# Вредоносный MCP-сервер postmark-mcp тайно копировал письма пользователей

> В сентябре 2025 года Koi Security обнаружила в npm первый известный вредоносный MCP-сервер: неофициальный пакет postmark-mcp добавлял скрытую копию каждого отправленного письма на адрес злоумышленника. Пакет загрузили 1643 раза до удаления. Сама компания Postmark к пакету отношения не имела.

- Канонический HTML: [/incidents/postmark-mcp-malicious-npm](https://ai-first.tech/incidents/postmark-mcp-malicious-npm)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2025-09
- Категория: Цепочка поставки
- Затронуто: Пользователи поддельного npm-пакета postmark-mcp версии 1.0.16 и выше; компании, отправлявшие через него письма AI-агентами
- Критичность: Высокий

## Что произошло

Пакет postmark-mcp появился в npm в середине сентября 2025 года и выглядел как MCP-сервер для отправки писем через сервис Postmark. Автор скопировал код официального проекта с GitHub и выпустил 15 нормально работающих версий, набрав доверие пользователей. В версии 1.0.16, вышедшей 17 сентября, добавилась одна строка, ставившая адрес злоумышленника в скрытую копию каждого письма. Koi Security обнаружила подмену, после чего автор удалил пакет из npm; к этому моменту его загрузили 1643 раза. 25 сентября Postmark опубликовала предупреждение: компания не публиковала свой MCP-сервер в npm и не участвовала в создании пакета.

## Где нарушилась защита

Пользователи доверили стороннему пакету роль посредника между AI-агентом и почтовой системой, не проверив издателя. Обновления пакета применялись автоматически, поэтому вредоносная версия попала к тем, кто ранее установил безопасную. Агент отправлял письма штатно, и утечка не была видна ни пользователю, ни модели.

## Последствия

- Письма, отправленные через пакет, включая счета, сброс паролей и внутреннюю переписку, могли копироваться злоумышленнику
- 1643 загрузки пакета до удаления
- Затронутым рекомендовано проверить журналы отправки и сменить учётные данные

## Реакция

Пакет удалён из npm. Postmark опубликовала предупреждение, указала на официальный репозиторий своего MCP-сервера на GitHub и рекомендовала удалить поддельный пакет, проверить почтовые журналы и сменить ключи.

## Уроки для бизнеса

- MCP-сервер получает данные и права агента, поэтому его происхождение нужно проверять как у любого поставщика
- Доверие, набранное ранними версиями пакета, не гарантирует безопасность следующих
- Утечка через агента может быть незаметной: функция работает, но данные уходят в сторону

## Меры защиты

- Использовать MCP-серверы только из официальных источников вендора или внутреннего реестра
- Фиксировать версии и проверять изменения перед обновлением
- Контролировать исходящие соединения и параметры писем, отправляемых агентами
- Вести реестр установленных MCP-серверов

Связанные карточки угроз: A33, A47, A21

## Первоисточники

- [Security Alert: Malicious postmark-mcp npm Package Impersonating Postmark](https://postmarkapp.com/blog/information-regarding-malicious-postmark-mcp-package) — Postmark
- [First Malicious MCP Server Found Stealing Emails in Rogue Postmark-MCP Package](https://thehackernews.com/2025/09/first-malicious-mcp-server-found.html) — The Hacker News