分类: 国际动态

新加坡:穆斯林应用程序开发商出售用户数据给美国军方

据报道,Muslim Pro应用程序在全球范围内下载量超过9850万,据称已向美国军方出售了“粒度位置数据”,但这一指控被否认,目前正由新加坡个人数据保护委员会进行调查。 数据保护委员会(PDPC)确认正在对指控进行投入,并向Pros开发商Bitsmedia寻求更多信息。监管机构告诉当地媒体:“我们提醒用户要注意他们的权限和个人数据以及使用方法。如有疑问,用户不应下载或使用任何应用程序。” 成立于2009年,总部位于新加坡的Bitsmedia在马来西亚和印度尼西亚设有办事处,并已通过在200个国家的用户下载审核。 据报道,该应用程序已将位置数据出售给X-Mode,这是美国第三方数据聚合商,向其客户出售服务,其中包括美国国防承包商。美国-加拿大新闻媒体Vice Media在报告中爆料说,穆斯林Pro是向美国军方出售数据的移动应用程序之一,包括时间戳、电话型号详细信息和Wi-Fi网络的连接位置。 Bitsmedia否认了这些指控,并在星期二和星期四发表了两份声明,认为该报告“不正确且不真实”。 Bitsmedia注意到它符合诸如欧盟的GDPR(通用数据保护法规)和加利福尼亚消费者隐私法案(CCPA)之类的全球数据隐私法律和法规,称其“收集、处理和使用其用户提供的信息”开发人员在访问其应用程序以“改善我们的服务”并促进其应用程序的“研究与开发”(R&D)工作时访问开发者。 这可能包括分析数据以更好地了解用户行为,从而可以“改善其服务的整体功能”。位置数据用于祈祷时间的计算,并有助于规划和设计功能,以及改善整体用户体验。应用程序开发人员还坚持认为,它不会共享任何敏感的个人信息,例如姓名、电话号码和电子邮件。“与合作伙伴共享的任何数据都是匿名的,这意味着我们的数据不会归因于任何特定的个人。”“我们采用行业标准的安全措施和保护措施,并选择领先的技术合作伙伴,以确保我们的数据在我们的云基础架构上的安全。我们对收集、存储和处理的个人信息也保持公开和透明。” 虽然它驳斥了Vice Media的主张,但Bitsmedia表示已经终止了与数据合作伙伴包括X-Mode的所有关系,该关系“立即生效”。 它与“选定的技术合作伙伴”合作,以改善其应用程序的质量,并与合作伙伴共享数据,以实现“广告等常见目的”,这是它的主要收入来源。这样做是“完全遵守”所有相关法律的,并实施了“严格的数据治理政策”以保护其用户数据。 根据应用程序开发商的说法,它与社交媒体网络和数据分析公司等第三方合作,并在其用户同意下共享数据。它还指出,除了“社区”部分外,穆斯林Pro中提供的功能都可以使用,而无需用户登录该应用程序。“这有助于我们收集和处理的数据的匿名性。” 如果它被发现违反了新加坡的个人数据保护法(PDPA),Bitsmedia可能面临 严重的经济处罚。 新加坡本月刚刚更新了数据保护法规,以允许本地企业未经事先同意就出于某些目的(例如业务改进和研究)使用消费者数据。修正案还允许对数据泄露处以更严厉的罚款,超过先前100万新加坡元上限。 新加坡通信和信息部长伊斯瓦兰(S. Iswaran)在 讨论修正案的讲话中说,数据是数字经济中的关键经济资产,因为它提供了有价值的见识,可为企业提供信息并提高效率。 Iswaran说,它还将增强创新能力并增强产品,并成为具有变革潜力的新兴技术(如人工智能(AI))的重要资源 。 PDPA的主要变化之一是“同意的例外”要求,该要求现在允许企业出于“合法目的”,业务改进和更广泛的研发范围使用、收集和披露数据。除了用于调查和应对紧急情况外,还包括打击欺诈、增强产品和服务以及开展市场研究以了解潜在客户群的工作。 此外,PDPA“视为同意”下定义的进一步修订现在将允许组织与外部承包商共享数据,以履行客户合同。这迎合了“现代商业安排”和包括安全在内的基本目的。 企业还可以在未经同意的情况下使用数据来促进可能尚未标记为产品化的研发。除“视为”和“例外”之外,所有其他目的(例如直接营销信息)仍然需要获得消费者的事先同意。 PDPC去年调查了185起涉及数据泄露的案件,并发布了58项决定。它命令39个组织支付170万新加坡元的罚款,其中最高罚款分别为75万新加坡元和25万 新加坡元,分别由综合健康信息系统和新加坡卫生服务处处置。       消息及封面来源:zdnet;译者:小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ”   

谷歌 Android Messages 测试版将推出 RCS 端到端加密功能 以保护用户隐私

经过两年漫长时间,现在全球每一个Android用户,都可以使用取代短信的下一代短信标准。谷歌通过其Android Messages应用直接向任何安装它并将其作为默认短信应用的人提供RCS聊天服务,而无需移动运营商参与。同样重要的是,谷歌宣布终于开始启用一项关键的隐私功能:端到端加密,这意味着运营商和谷歌都无法读取这些信息的内容。 尽管加密功能只是开始向注册Android Messages公测版的用户推出,但为RCS开启加密功能是一件非常重要的事情。这是一个巨大的隐私胜利,因为这意味着在全球绝大多数人使用的智能手机平台上,短信的事实上的替代者默认情况下将是私密的。至于iPhone,我们还没有听说苹果是否打算采用RCS标准。 自从最初宣布计划过渡到RCS作为安卓系统的主要短信平台后,该标准的推广就陷入了混乱之中。去年,谷歌开始自己动手,慢慢地让不同国家的用户直接从谷歌那里获得RCS服务,而不是等待运营商开启。今天,该公司宣布这一进程已经完成,在谷歌提供服务的所有地方,都可以通过Android Messages获得RCS服务。在某些地区和某些运营商,如果他们选择,谷歌将继续允许这些运营商运行你的RCS服务。 如前所述,谷歌将在本月推出测试版,而谷歌并没有加密聊天何时能毕业进入主应用的时间表。而对于愿意注册Android Messages公测版的人来说,要知道,和往常一样,谷歌将逐步推出该功能,所以你可能不会马上得到这项加密功能。只有当双方用户都在使用Android Messages并已收到更新时,端到端加密才会在一对一的聊天中发挥作用。在群组聊天中启用端到端加密是一个更棘手的问题,所以谷歌不会承诺扩展该功能的时间表。         (消息来源:cnBeta;封面来自网络)

英国成立“国家网络部队” 以打击有组织犯罪和敌对国家活动

英国政府透露,一支由间谍、网络专家和军方成员组成的新进攻部队已经在进行网络行动,以破坏敌对国家活动、恐怖分子和犯罪分子。这个新的组织被称为国家网络部队(National Cyber Force )–旨在应对对英国国家安全的威胁,如打击恐怖阴谋,以及针对英国的军事行动等。 英国首相鲍里斯·约翰逊告诉议会,这个新组织已经成立并开始运作。他说:“我可以宣布,我们已经成立了一支国家网络部队,结合我们的情报机构和服务人员,它已经在网络空间开展行动,打击恐怖主义,有组织犯罪和敌对国家活动。” 国家网络部队汇集了来自情报机构GCHQ、国防部、国防科技实验室和秘密情报局–军情六处的专家,他们将提供其“招募和运行特工的专业知识,同时提供秘密行动技术的独特能力”。 GCHQ表示,网络行动的例子可能包括干扰手机,以防止恐怖分子能够与他们的联系人沟通,帮助防止互联网被用作严重犯罪的平台,或者保持英国军用飞机的安全,以免被敌对武器系统瞄准。 GCHQ主任杰里米-弗莱明说,国家网络部队 “汇集了情报和防御能力,以改变英国在网络空间与对手竞争的能力,保护国家、民众和我们的生活方式。” GCHQ表示,这支新部队建立在英国目前的国家进攻性网络计划基础上,包括GCHQ与军方合作开展网络行动。国家网络部队其实今年已经被政府提过几次了,早在2018年就有报道称,新部队将有2000人,预算将达到2.5亿英镑。 英国至少已经有过一些使用网络攻击或 “进攻性网络行动”的情况:2016年,政府表示对Daesh进行了网络行动;2018年,英国还被曝出对ISIS宣传网络使用了网络攻击。英国还曾向北约提供网络能力。 英国首相表示,关于国家网络部队的消息是更广泛的国防审查公告的一部分,旨在增加武装部队对技术的使用,创建一个“单一网络”来战胜敌人。 “在敌对领土上的士兵将通过卫星或无人机上的传感器对远处的埋伏发出警报,即时发出警告,利用人工智能设计最佳反应,并提供一系列选择,从召唤空中打击到命令群攻,由无人机或用网络武器麻痹敌人,”约翰逊说。 不过,如此强调网络行动并非没有批评者。由于对于什么是对网络攻击的适当反应并没有明确的规则,有人担心,由于不同的国家可能会按照不同的规则进行游戏,增加使用进攻性网络战能力可能会导致冲突时期的快速和难以控制的升级。 而有些人认为,宣传网络能力可以对潜在的攻击者起到威慑作用,但并不是所有的人都相信。直到最近NCSC的负责人Ciaran Martin在最近的一次演讲中说。“在我所有的行动经验中,我完全没有看到任何迹象表明,西方网络能力的存在,或我们使用它们的意愿,会阻止攻击者。” “我们有可能接受获取和使用更高端的网络能力是一个优先事项,而不测试这对我们自己的数字环境意味着什么的问题。我们还没有进行这种根本性的辩论,因为国家安全界和技术界并没有真正地相互交流,”他说。       (消息来源:cnBeta;封面来自网络)

FBI:黑客从美国政府机构和企业窃取了源代码

联邦调查局发出安全警报:黑客正在滥用配置错误的SonarQube应用程序访问并窃取美国政府机构和企业的源代码存储库。 联邦调查局表示,黑客最早从2020年4月开始进行网络攻击活动, 于本周在网站上公开。该警报特别提醒基于Web的应用程序SonarQube的所有者:供应商已将其集成到软件构建链中,测试源代码并发现安全漏洞,然后再将代码和应用程序推广到生产环境中。SonarQube应用程序安装在Web服务器上,并连接到源代码托管系统,例如BitBucket、GitHub或GitLab帐户、Azure DevOps系统。 联邦调查局表示:未使用默认管理员凭据(admin / admin)以其默认配置(在端口9000上)运行系统的单位不受保护。 黑客滥用了错误配置来访问SonarQube,转到连接的源代码存储库,进而访问和窃取专有应用程序的数据。   “ 2020年8月,未知黑客通过公共生命周期存储库工具从两个组织窃取了内部数据。被盗数据来自使用了受影响组织网络上运行的默认端口设置和管理员凭据的SonarQube。” “该网络攻击活动与2020年7月的一次数据泄漏事件相似,一个已知黑客通过安全性较差的SonarQube窃取并发布了被攻击企业的专有源代码。”   2018年5月以来,安全研究人员就警告将SonarQube应用程序在线暴露给默认凭据存在高度安全隐患。 鲍勃·迪亚琴科(Bob Diachenko)表示:当时在线可用的所有3000个SonarQube实例中,大约30%至40%没有启用密码或身份验证机制。 瑞士安全研究人员Till Kottmann也提出了相同问题。Kottmann在公共门户网站上收集了数十家科技公司的源代码,其中许多来自SonarQube应用程序。Kottmann告诉ZDNet: “大多数人似乎都不会更改相关设置,但SonarQube的安装指南有详细解释。” FBI发布了保护SonarQube服务器的相关措施:首先是更改应用程序的默认配置和凭据;然后使用防火墙防止未经授权的用户访问该应用程序。       消息及封面来源:ZDNet;译者:小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。  

黑客借特朗普推文行骗 数小时获利逾 25 万

北京时间11月5日消息,伪装成埃隆·马斯克(Elon Musk)的一名黑客,在回复特朗普推文的推文中骗取用户的虚拟货币。黑客使用的账户通过了Twitter的认证,用户名显示为“Elon Musk”,回复了特朗普讨论总统大选形势的推文。 黑客账户发布推文称,选举基本上大局已定,为了庆祝大选,他将向用户赠送礼品,并给出了指向musk-coins.com的链接。 Mashable首先发现了这一骗局,它发现连接会把用户引流到一个网站,要求用户提供自己的比特币,以获取更高的回报。 骗取价值3.2万美元的比特币和价值6000美元的以太坊(总价值约合人民币25万元)后,黑客修改了Twitter账户名称,并删除了网站。 账户名为“@emmaisaac”的Twitter用户实施了这次黑客活动。 特朗普在一条推文中称,“人们在所有地方都看到了拜登的选票——宾夕法尼亚州、威斯康辛州和密歇根州,这不利于我们的国家。” 黑客在回复这条推文时实施了诈骗活动,推文称,“选举基本上大局已定!为了纪念这次大选,我们将向人们赠送礼品:访问网站musk-coins. Com。提醒:去除其中的空格。” 为了增强迷惑性,黑客在推文中还添加了指向SpaceX账户上的Youtube链接。 在对Internet Archive进行进一步调查后,Mashable发现,这一认证账户之前属于BusinessChicks CEO埃玛·艾萨克斯(Emma Isaacs),该账户的头像仍然是她的照片。 Twitter曾在2018年表示,将自动锁住把昵称修改为“Elon Musk”的账户,因为这是虚拟货币“赠送”诈骗活动的惯用伎俩。 今年6月,黑客通过攻击包括奥巴马、杰夫·贝佐斯(Jeff Bezos)和马斯克在内的名人Twitter账户,实施了相似的诈骗活动,给用户造成更大损失。 黑客声称通过向1或多名Twitter用户行贿,能够访问内部系统,通过上述账户发布要求用户送给他们比特币的推文。 在Twitter采取措施前,4小时内约有300名用户上当受骗,发送给黑客价值111.8万美元的比特币。         (消息来源:cnBeta;封面来自网络)

专家:美国大选投票站未出现重大或者破坏性的网络攻击

目前美国部分地区的投票站已经关闭,网络安全官员和专家表示并没有出现任何重大或者破坏性的网络攻击。不过这并不意味着选举日就一帆风顺。在内华达州和得克萨斯州的一些投票机出现了短暂宕机的情况,不过随后很快恢复正常;而佐治亚州和俄亥俄州的选民在洗手液泄漏到机器中后,不得不使用纸质选票进行投票。 负责监督美国选举安全性的国土安全部网络安全和基础设施安全局(CISA)表示,选举日一切顺利,没有发现任何障碍。而本周二晚间和记者的通话中,CISA 一位高管表示 :“今天和往常互联网的周二没有区别”。但他也承认“我们还没有走出困境[指最终投票结果的报告]”,目前很多州都保持胶着状态。 中情局局长克里斯托弗·克雷布斯(Christopher Krebs)在一份声明中表示,“没有证据显示任何外国对手有能力阻止美国人投票或改变投票记录。”Cloudflare发布的数据表明,选举日政府选举网站上的网络攻击略有上升,但首席执行官Matthew Prince在推特上表示,上升幅度“相对较小”,而攻击则“过分复杂”。       (消息及封面来源:cnBeta)

因未能确保客户个人数据安全 万豪国际被罚 1840 万英镑

英国隐私监管机构表示,已就喜达屋酒店及度假酒店国际集团(Starwood Hotels & Resorts Worldwide Inc., 简称﹕喜达屋)遭受网络攻击对万豪国际集团(Marriott International Inc., MAR)处以1840万英镑(2380万美元)的罚款。 英国信息委员办公室(ICO)表示,一项调查发现万豪未能实施适当的技术或组织措施来保护其系统上处理的个人数据,该机构对该公司未能确保客户个人数据的安全而实施处罚。 今年3月31日,万豪国际集团发布公告,称约520万名客人的信息可能被泄露,包括姓名、地址、联系方式、偏好等。 这已经不是万豪首次大规模泄露客人的个人隐私。 早在2018年11月,万豪国际集团官方发布声明称,喜达屋旗下酒店的客房预订数据库被黑客入侵,在2018年9月10日或之前曾在该酒店预定的最多约5亿名客人的信息或被泄露。这些客人中约有3.27亿人的信息包括:姓名、邮寄地址、电话号码、电子邮件地址、护照号码、SPG俱乐部账户信息、出生日期、性别、到达与离开信息、预定日期和通信偏好。对于某些客人而言,泄露的信息还包括支付卡号和支付卡有效期,但支付卡号已通过高级加密标准(AES-128)加密。 上述消息公布后,万豪国际股价大跌5.75%。当时万豪国际集团并表示已向相关执法部门报告此事件,并配合调查。 资料显示,2016年美国连锁酒店运营商万豪国际集团以超120亿美金收购喜达屋酒店及度假村全球公司。       (消息来源:cnBeta;封面来自网络)

威斯康辛州共和党在美大选前被黑客盗走 230 万美元

据外媒报道,就在美大选前几周,黑客通过操纵发票的手段从威斯康辛州共和党那里窃取了230万美元。据悉,这起盗窃案在10月22日被注意到,威斯康辛州共和党主席Andrew Hitt表示,FBI目前正在调查此案。 据Hitt介绍,黑客使用了来自竞选团队合作的几家供应商的伪造发票,这些发票主要用于竞选邮递和特朗普周边商品等。这些文件没有提供供应商的付款信息,而是将钱转给了黑客。 这种黑客攻击实际上是一种相当常见的骗局:Facebook和谷歌在2017年也曾遭受过类似的网络钓鱼攻击,当时涉案金额高达1亿美元。骗子经常使用假发票来针对企业、组织和其他团体,希望能在合法发票的基础上偷到假发票。考虑到在大选前最后几周进行竞选活动是多么得疯狂,所以很容易想象那些诈骗发票是如何漏掉的。 威斯康辛州被认为是特朗普和拜登在即将到来的选举中必不可少的州。     (消息及封面来源:cnBeta)

欧盟就 2015 年入侵德国议会网络事件对俄罗斯实施制裁

据外媒报道,当地时间周四欧盟宣布对俄罗斯实施制裁,因为认为后者参与了2015年入侵德国议会网络事件。欧盟对俄罗斯陆军下属的军事情报机构GRU及其两名军官进行了制裁。这两名GRU军官被确认为Dmitry Badin和Igor Kostyukov。 欧盟官员表示,Badin是2015年4月至5月期间入侵联邦议院IT网络的俄罗斯军事情报人员团队的一员。 “这次网络攻击的目标是议会的信息系统,并影响了议会数天的运作,”欧盟周四说。“大量数据被窃取,多名议员以及总理默克尔的电子邮件账户受到影响。” Kostyukov因担任GRU第一副负责人而受到制裁。欧盟官员表示,Kostyukov指挥着第85特种服务主中心(GTsSS),该中心也被称为军事单位26165,但在网络安全行业更常见的黑客代号为APT28、Fancy Bear、Sofacy或Strontium。 德国当局自今年早些时候对Badin提出正式指控后,一直在推动欧盟就2015年黑客事件对俄罗斯进行正式制裁。俄罗斯当局表示,德国从未就2015年联邦议院黑客事件和Badin的指控提供任何证据,指责柏林政府追逐制裁,而不是真的想把这位GRU官员送上法庭。 Badin在美国也被指控在APT28期间进行了一长串的黑客攻击,如针对世界反兴奋剂机构(WADA)、禁止化学武器组织(OPCW)的网络攻击,以及参与美国的政治虚假信息工作。 周四天的公告是欧盟今年对俄罗斯黑客实施的第二波制裁。布鲁塞尔官员在7月底制裁了四名GRU官员,因为他们试图入侵禁化武组织的WiFi网络。制裁内容包括旅行禁令和资产冻结。欧盟公民和企业被禁止与任何受制裁实体进行交易。     (消息及图片来源:cnBeta)

勒索软件 Nefilim 泄露了 Luxottica 的数据

Luxottica Group S.p.A 是全球眼镜行业最大的眼镜集团。作为一家垂直化公司,Luxottica集设计、制造、分销、零售一体化,还为Chanel、Prada、Giorgio Armani、Burberry、Versace等品牌设计太阳眼镜和镜架,拥有超过80,000名员工,在2019年创造了94亿美元的收入。 9月18日,该公司遭到网络攻击,部分运营网站无法访问。 意大利 媒体 报道,由于系统故障,部分Luxottica工厂的运营中断。经证实,该工厂的工作人员收到了一条SMS:“出现了严重的IT问题,9月21日暂停第二个工作班次。” 安全公司Bad Packets推测 Citrix ADX控制器设备受 CVE-2019-19781漏洞的影响,易让黑客利用勒索软件攻击公司系统。Luxottica尚未发布任何有关此次网络攻击的官方声明。被泄露数据包含相关招聘信息、简历机密以及人力资源部内部结构信息以及预算、市场预测分析等财务信息。 Nefilim勒索软件黑客还发布消息指控Luxottica未能正确处理网络攻击。     消息来源:securityaffairs ;封面来自网络;译者:小江。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。