Recientemente, Ee Durbin , director de infraestructura de Python Software Foundation, reveló en el blog oficial de PyPI : En marzo y abril de 2023, Python Software Foundation (PSF) recibió tres citaciones para datos de usuarios de PyPI, todas emitidas por EE. UU. emitido por el Departamento de Justicia.
Sin embargo, el Departamento de Justicia de EE. UU. no apuntó a PyPI, sino que solicitó datos de usuario relacionados con cinco nombres de usuario de PyPI en tres citaciones. Los datos de usuario solicitados incluyen
- Nombre (incluido el nombre del suscriptor, el nombre de usuario y el nombre de pantalla);
- Dirección (incluida la dirección postal, la dirección residencial, la dirección comercial y la dirección de correo electrónico);
- registros de conexión;
- Registros de horas y duraciones de sesiones, y direcciones de red asignadas temporalmente (como direcciones de Protocolo de Internet) asociadas con esas sesiones;
- Duración del servicio (incluida la fecha de inicio) y tipo de servicio utilizado;
- números de teléfono o administrativos (incluidas las direcciones de Protocolo de Internet registradas);
- Métodos y fuentes de pago (incluidos números de tarjetas de crédito o cuentas bancarias) y registros de facturación de los Servicios PyPI;
- (PyPI) El nombre de usuario dado para el registro de carga del paquete
- (PyPI) Registro de descarga de IP del paquete para un nombre de usuario dado
El DOJ no proporcionó a Python Software Foundation información sobre el entorno legal o los antecedentes de estas citaciones de PyPI. Algunos internautas especularon que se estaba persiguiendo a una organización que utilizó PyPI en ataques maliciosos, porque los datos solicitados por el Departamento de Justicia de EE. UU. cumplían con el estándar de "encontrar datos de proveedores de servicios al investigar casos".
La Python Software Foundation consultó a un abogado en ese momento, y el abogado sugirió que solo había un curso de acción, y era proporcionar honestamente los datos relevantes solicitados.
PyPI recibió una citación en marzo/abril pero esperó hasta mayo para publicarla debido a las órdenes de confidencialidad. En otras palabras, es muy probable que PyPI haya recibido más de tres citaciones, pero el resto no se puede hacer público.
Parece normal que PyPI sea citado por actividades maliciosas, después de todo, hay demasiados usuarios maliciosos y malware en él. El fin de semana pasado, debido a la cantidad de usuarios/proyectos maliciosos recién creados en el índice PyPI la semana pasada, sucedió que la mayoría de los administradores estaban de vacaciones nuevamente y los administradores restantes no pudieron manejarlo en absoluto, por lo que solo pudieron detener temporalmente registro de nuevos usuarios y función de carga de nuevos proyectos.