瀏覽器開發商Mozilla向其龐大的附加元件開發者社群發出緊急資安警告，指出有一場正在進行的網路釣魚（phishing）攻擊，正以其官方附加元件平台（addons.mozilla.org，簡稱AMO）的開發者帳戶為目標。這項攻擊透過偽造的電子郵件，聲稱開發者帳戶需要更新才能繼續使用相關功能，企圖誘騙開發者點擊惡意連結，進而竊取他們的登入憑證。此攻擊不僅威脅到開發者本身的帳戶安全，更可能對數千萬名使用Firefox瀏覽器的用戶構成潛在風險。

駭客利用了開發者對於維護其附加元件的迫切需求，透過精心設計的釣魚郵件，製造一種帳戶即將失效的急迫感。這些郵件通常會包含類似「您的Mozilla附加元件帳戶需要更新才能繼續存取開發者功能」的訊息。儘管部分釣魚郵件存在明顯的技術瑕疵（如網域名稱拼寫錯誤），但對於警覺性較低的開發者而言，仍有可能上當。一旦開發者的帳號密碼被竊取，駭客便能掌握其在AMO上的管理權限，進而上傳帶有惡意程式碼的附加元件更新檔，或直接在現有元件中注入惡意程式，導致大規模的惡意軟體擴散。

數以百萬計的Firefox用戶可能在不知情的情況下，因安裝了受感染的附加元件而遭受損失。惡意附加元件可能具備竊取瀏覽歷史紀錄、個人資料，甚至加密貨幣錢包憑證的能力。其次，這將嚴重破壞用戶對Mozilla附加元件平台的信任。如果用戶無法信任附加元件的安全性，將會對整個Firefox的品牌形象和用戶基礎造成長期的負面影響。最後，對於受害的開發者而言，除了帳戶被盜用的直接損失外，其信譽也將受到嚴重損害，可能需要花費大量時間來修復與用戶之間的信任關係。

開發者應對所有聲稱來自Mozilla或AMO的電子郵件保持高度警覺，在點擊任何連結前，務必仔細檢查寄件者的網域名稱，確認其是否為Mozilla官方網域（如mozilla.org、firefox.com）。另外，應避免直接點擊郵件中的連結，而是手動在瀏覽器中輸入 addons.mozilla.org 或 firefox.com 等官方網址來登入帳戶。此外，開發者也應檢查郵件的電子郵件身分驗證（如SPF、DKIM、DMARC），以確保其來源的合法性。最後，強烈建議所有開發者啟用多因素認證（MFA），為帳戶提供額外的保護層，即使密碼被竊取，也能有效阻止駭客入侵。

駭客正利用軟體生態系統中最具信任度的環節——開發者，來作為攻擊的入口。Mozilla的緊急警告突顯了在數位世界中，「信任」的脆弱性。要有效防禦此類攻擊，不能僅依賴單一的技術防護，而必須結合技術驗證、使用者教育與嚴格的帳戶管理措施。開發者應將資安視為開發工作不可或缺的一部分，而Mozilla也必須持續強化其平台的安全機制，透過共同努力，才能確保整個附加元件生態系統的健全與用戶的安全。

資料來源：https://www.bleepingcomputer.com/news/security/mozilla-warns-of-phishing-attacks-targeting-add-on-developers/