分类: 数据泄露

微软研究发现其 4400 万个帐户使用已泄露的密码

微软在2019年对超过30亿个公司账户进行了密码重用分析,以找出微软客户使用的密码数量。该公司从公共来源收集密码散列信息,并从执法机构获得额外数据,并将这些数据用作比较的基础。 对2016年密码使用情况的分析显示,约20%的互联网用户重复使用密码,另有27%的用户使用的密码与其他账户密码几乎相同。2018年的研究结果显示,大部分网民仍然青睐弱密码,而非安全密码。 像Mozilla或Google这样的公司都引入了改善密码使用的功能。谷歌于2019年2月发布了其密码检查扩展程序,并于2019年8月开始将其本地集成到浏览器中。该公司还于2019年在其网站上推出了针对Google帐户的新密码检查功能。Mozilla将Firefox Monitor集成到Firefox 浏览器中,该浏览器旨在检查弱密码并监视密码是否已经泄漏。 微软一直在推动无密码登录已经有一段时间了,该公司的密码重用研究提供了一个原因。根据微软的说法,4400万个Azure AD和微软服务帐户使用在泄漏的密码数据库中也可以找到的密码。这大约是该公司在研究中检查所有凭证的1.5%。 现在微软将强制重置泄露的密码。微软用户将被要求更改帐户密码。目前尚不清楚如何将信息传达给受影响的用户或何时重置密码。在企业方面,微软将提高用户风险并警告管理员,以便可以强制执行凭据重置。微软建议客户启用一种形式的多因素身份验证,以更好地保护其帐户免受攻击和泄漏。根据微软的说法,如果使用多因素身份验证,则99.9%的身份攻击不会成功。   (稿源:cnBeta,封面源自网络。)

2100 万 Mixcloud 用户数据在暗网出售

在线音乐流媒体服务Mixcloud最近遭到黑客的攻击,用户数据在暗网上出售。 近期,一名昵称为“ A_W_S”的黑客联系了多家媒体曝光了此事件,并提供了数据样本作为数据泄露的证据。 此次攻击发生在11月初,超过2000万个用户帐户的数据遭到曝光。这些数据包括用户名,电子邮件地址,SHA-2哈希密码,帐户注册日期和国家/地区,最近一次登录日期,IP地址以及个人资料照片的链接。 Techcrunch发布的文章称:“我们通过注册功能验证了部分被盗数据。这些被盗数据的确切数量仍是未知。卖方说他们拥有2000万条记录,但暗网上存在2100万条。但根据我们采样的数据,记录可能多达2200万条。” 黑客以0.27比特币(约合2,000美元)的价格出售这些数据。 图片来源:ZDNet   上周六,Mixcloud发布安全公告披露了该事件,该公司同时强调,系统没有存储完整的信用卡号或邮寄地址之类的数据。 “今天晚上我们收到了可信的报告,证实了黑客访问了我们的部分系统。” “此次事件事件涉及电子邮件地址,IP地址和少数用户的密码(安全加密状态)。大多数Mixcloud用户使用Facebook账号进行了注册,我们没有存储这些用户的密码。” Mixcloud 目前正在积极调查此事件,并且建议用户将密码重置。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Magento Marketplace 数据遭到泄露,用户信息被出售

如果你曾经在Magento官方市场上注册过一个帐户来购买或出售任何扩展程序,插件或电子商务网站主题,那么你现在要立刻修改你的密码了。 拥有Magento电子商务平台的公司Adobe今天公布了一项新的数据泄露事件,Magento Marketplace 用户的帐户信息被暴露给了黑客。 据该公司称,黑客利用了其网站上一个未公开的漏洞,并用未经授权的第三方身份访问数据库并获取了注册用户的信息,包括客户(买方)和开发人员(卖方)。 数据库中的信息包括受影响的用户的姓名,电子邮件地址,MageID,账单和送货地址信息以及一些商业信息。 尽管Adobe没有透露或者可能他们也不知道Magento市场何时遭到的攻击,但该公司已经确认其安全团队于11月21日发现了这一漏洞。 除此之外,Adobe还保证,黑客无法破坏Magento的核心产品和服务,也就是说黑客无法通过访问Marketplace上托管的主题和插件来添加任何后门或恶意代码,用户可以安全下载。 “ 11月21日,我们发现了Magento Marketplace的漏洞。我们当时暂时关闭了Magento Marketplace以解决此问题。目前Marketplace已经重新上线。此次事件并未影响任何Magento核心产品或服务的运行” ,Adobe商务产品和平台副总裁Jason Woosley 发表声明说。 Adobe没有透露受影响的用户和开发人员的数量,但它已经开始通过电子邮件通知受影响的客户。 尽管Adobe并未明确提及帐户密码也已泄露,但他们仍然建议用户更改该密码,如果用户在其他网站使用了相同的密码,最好也对这些密码进行更改。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

2019 年 Q3 逾 12000 名谷歌用户受政府黑客攻击

据谷歌威胁分析小组(TAG)报道显示:超过90%的目标用户受到“钓鱼邮件”的攻击。这些数据源于 TAG 追踪黑客组织而得出的结论,这些黑客组织通过向立场不同的政客、记者、人权学家发送邮件,来进行情报收集、知识产权窃取、破坏性网络攻击以及传播虚假信息等一系列行为。 谷歌公司表示,2019年7月至9月间发送的高风险用户安全警告与2018年和2017年同期相比浮动范围均在10%以内。 我们鼓励记者、人权学家和政客等高风险用户加入我们的高级保护计划(APP),该计划通过硬件安全密钥,可为防范网络钓鱼和帐户劫持提供最有力的保护。该程序是专门为高风险账户设计的,”谷歌说。 据谷歌共享的地图显示,钓鱼攻击警告虽然已被发送到149个国家受影响的用户手中,但美国、巴基斯坦、韩国和越南是仍受攻击最严重的国家。 自2012年来,一旦发现有黑客通过网络钓鱼、恶意软件等形式攻击用户时,谷歌便会向用户发出安全警报。 就在去年,谷歌开始向 G Suite 管理员提供安全警报,以便他们能更好向用户保护采取行动。 针对安全警报问题,谷歌公司建议当目标用户收到邮件时,不必惊慌,这并不一定意味着你的谷歌账户已经被泄露,这意味着黑客试图通过一些恶意手段访问你的谷歌账户,你应及时采取一些措施如保持其应用程序和软件的最新状态并启用两步验证保护个人账户信息。     消息来源:TheHackerNews, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

恶意 SDK 收集 Facebook 和 Twitter 用户个人数据

据Facebook和Twitter透露,一些第三方应用未经用户同意便获取了用户的个人信息。 这些第三方iOS和Android应用程序使用了恶意SDK。SDK被用来展示广告,不过专家们注意到,一旦使用这些应用程序将社交网络的用户登录到任一服务中,SDK就会静默访问其个人资料并收集信息,包括用户名,电子邮件地址和推文。 这些恶意SDK是由营销公司OneAudience开发的。推特已经将这个消息告知其用户。 “我们最近收到了一份有关由恶意SDK的报告。 这个问题不是由于Twitter软件中的漏洞所致,而是由于应用程序内的SDK之间缺乏隔离性。我们的安全团队已经确定,可以嵌入到移动应用程序中的恶意SDK可能会利用移动生态系统中的漏洞访问并获取个人信息(电子邮件,用户名,最新一条推文)。 ” 即使专家没有发现证据表明恶意SDK会被用来控制Twitter帐户,他们仍然没有排除黑客可能使用SDK进行攻击的可能性。 Twitter知道恶意SDK已经通过Android设备访问某些Twitter帐户的个人数据,但iOS设备还没有出现过类似的事件。 Twitter向Google和Apple以及其他同行报告了此事件,并呼吁采取相对应的措施来阻止包含其代码的恶意SDK和应用。 Facebook发现了两个具有类似目的SDK,它们分别是One Audience和Mobiburn。 据称,恶意SDK收集了个人资料信息,包括姓名,性别和电子邮件地址。 Facebook发言人告诉 The Register: “安全研究人员最近向我们通报了One Audience和Mobiburn,他们收买开发人员,以在应用中使用恶意SDK。” “经过调查后,我们根据违反平台政策的原因将其应用程序从平台上删除,并向One Audience和Mobiburn发出了终止信函。如果用户的操作可能使他们的身份信息遭到泄露,我们将提示他们保护好自己的姓名,邮箱和性别等信息。我们希望用户在允许第三方应用程序访问其社交媒体帐户时保持谨慎。” oneAudience没有对此事件发表评论,但与此同时MobiBurn发表声明,否认其正在收集Facebook数据,并宣布对使用其SDK的第三方应用程序展开调查。 “MobiBurn没有收集,共享或分享来自Facebook的数据获利。 MobiBurn主要通过捆绑销售来充当数据业务的中介,例如捆绑第三方开发的SDK。 MobiBurn 无权访问移动应用程序开发人员收集的任何数据,也不处理或存储此类数据。 我们仅向移动应用程序开发人员介绍数据运营公司。不过MobiBurn目前已经停止了所有活动,直到我们结束对第三方的调查。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国加州车管部门通过出售私人数据每年赚取 5000 万美元

我们曾经听说过大型科技公司通过出售私人数据赚钱,但美国全国各地的汽车管理部门也在通过这种做法赚钱,其中包括加利福尼亚的汽车管理部门,该部门每年通过出售驾驶员个人信息获得5000万美元的收入。 公共记录法案已经记录了有多少公司向加利福尼亚汽车管理部门支付数据费用。在2017/2018财政年度,这一数字为52,048,236美元,而2013/2014财年为41,562,735美元。这些数据信息包括驾驶者姓名,实际地址和汽车注册信息。 虽然该文件没有具体说明哪些公司要求提供这些信息,但其中包括数据经纪商和信贷机构。一些汽车管理部门还向私人调查员出售了信息,在某些情况下,他们被雇用来寻找配偶是否出轨。 加州汽车管理部门表示,数据请求者还可能包括保险公司,车辆制造商和准雇主,而赚取的金钱用于公共和高速公路安全,包括提供保险,风险评估,车辆安全召回,交通研究,排放研究,背景调查等等。   (稿源:cnBeta,封面源自网络。)

黑客盗取上万条 Disney+ 帐户并出售

黑客在Disney +启动数小时后便开始劫持用户帐户。许多帐户现在可以在黑客论坛上免费获得,或以3美元至11美元不等的价格出售。 接连不断的投诉 Disney +视频流媒体服务于11月12日启动。虽然只有美国,加拿大和荷兰可以享受Disney +服务,但其网站在开始的24小时内已经有超过1000万注册用户。 Disney +服务遇到了许多技术问题。许多用户报告他们喜欢的电影和节目无法播放。但在对技术问题的抱怨声中,还有一小部分用户报告无法访问其帐户。Twitter和Reddit等社交网络充斥着诸如此类的投诉。 许多用户报告说,黑客正在访问他们的帐户,将其从所有设备中注销,然后更改该帐户的电子邮件和密码,从而完全盗取了该帐户。 部分用户承认他们在其他网站使用了和Disney +帐户一样的密码,其他用户在网上说他们重新设置了密码。 这表明,在某些情况下,黑客可以使用在其他站点泄露的电子邮件和密码组合来访问帐户,而在其他情况下,Disney +密码可能是从感染了键盘记录或信息窃取恶意软件的用户那里获得的。 待售! 黑客将Disney +帐户货币化的速度令人震惊。服务启动后数小时内,帐户就在黑客论坛上出售。价格从每个帐户3美元到最高11美元不等——这比迪士尼合法的Disney +帐户的费用7美元还高。 Disney +可以做的是进行身份验证,这可以避免因为密码重用导致的攻击。 Disney +推出的目的在于与其他流媒体进行抗争。黑客论坛上充斥着被黑客入侵的Amazon Prime,Hulu和Netflix帐户。黑客仍然定期销售这些账户是因为一直有市场需求。 Disney +用户最好对帐户设置唯一的密码。这无法阻止设备上的恶意软件窃取密码,但可以防止黑客通过猜测密码窃取帐户。   消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

《Magic:The Gathering》开发商证实 安全漏洞使超 45 万玩家数据遭泄露

据外媒TechCrunch报道,游戏《Magic:The Gathering》的开发商 Wizards of the Coast已经确认,安全漏洞使数十万游戏玩家的数据遭泄露。该游戏开发商将数据库备份文件留在了公共的Amazon Web Services存储桶中。但是存储桶上没有密码,任何人都可以访问其中的文件。 据悉。自9月初以来,该存储桶就已经遭泄露。但是英国网络安全公司Fidus Information Security最近找到数据库并报告了此事。   对数据库文件的检查显示,其中包括有452634名玩家的信息,含与Wizards of the Coast员工相关的约470个电子邮件地址。该数据库包括玩家名称和用户名,电子邮件地址,以及创建帐户的日期和时间。该数据库还具有用户密码,这些密码经过哈希处理,因此很难但并非不可能被解密。没有数据被加密。根据外媒TechCrunch对数据的审查,这些帐户的日期至少可以追溯到2012年,但是一些最近的条目可以追溯到2018年年中。 Fidus联系Wizards of the Coast,但没有听到任何回应。直到TechCrunch与该公司取得之后,这家游戏制造商才将存储桶脱机。 该公司发言人Bruce Dugan在一份声明中对TechCrunch表示:“我们了解到,已被停止使用的网站上的数据库文件被无意间从公司外部访问了。”他表示:“我们从服务器上删除了数据库文件,并开始了调查以确定事件的范围。我们认为这是一起孤立事件,我们没有理由相信对数据进行了任何恶意使用,”但是发言人没有提供任何证据证明这一说法。 他表示:“但是,出于谨慎考虑,我们会通知玩家其信息已包含在数据库中,并要求他们在我们当前的系统上重置密码。” Fidus研发总监Harriet Lester表示:“在当今时代,错误的配置和缺乏基本的安全卫生措施仍然令人感到惊讶,尤其是当涉及到拥有超过45万个帐户用户的大型公司时。 ”“我们的研究团队不断工作,寻找诸如此类的错误配置,以尽快提醒公司,避免数据落入不法分子之手。这是我们帮助互联网更安全的小方法,”她告诉TechCrunch。 这家游戏机制造商表示,已根据欧洲GDPR法规的违规通知规则将有关泄露情况告知了英国数据保护部门。英国信息专员办公室没有立即回应此事。 对于违反GDPR的公司,可能会最高被处以相当于其全球年收入4%的罚款。   (稿源:cnBeta,封面源自网络。)

两名黑客通过 SIM 卡交换攻击窃取 55 万美元加密货币,随后被捕

  今年2月美国首次对 SIM卡交换攻击予以定罪,此后,美国司法部对多人提起诉讼,指控他们从受害者手中窃取数百万美元加密货币。 美国当局于周四从马萨诸塞州逮捕了涉嫌网络犯罪的黑客,并指控他们在2015年11月至2018年5月之间通过SIM卡交换攻击从至少10名受害者中窃取了55万美元的加密货币。 SIM交换或SIM劫持涉及到了移动电话提供商的社交服务。黑客假冒用户身份,要求提供商将电话号码移植到自己的SIM卡上。 一旦成功,攻击者就可以获取目标手机上的一次性密码,验证码和双重验证,以便重置密码并获得对用户的社交媒体,电子邮件,银行和加密货币帐户的访问权限。 黑客还针对加密货币公司的高管 根据起诉书,两名被告Eric Meiggs(20)和Declan Harrington(21)不仅攻击加密货币金额较高的用户,他们还通过攻击加密货币公司高管谋取巨额利润。 除此之外,两名被告还被指控盗取受害者的社交媒体帐户,其中包括两名“具有高价值或’OG’(’黑帮’的俚语)的社交媒体帐户”。 该二人已被控以11项指控,罪名是: ·串谋电汇欺诈 ·八项电汇欺诈罪 ·计算机欺诈和滥用罪 ·严重的身份盗窃罪 如果被判诈骗罪,这两名被告将面临最高20年监禁的处罚。同时,严重的身份盗窃指控最高可判处2年有期徒刑。 如何保护自己免受SIM卡交换攻击 在发生几次“ SIM卡交换”事件之后,美国联邦贸易委员会(FTC)于10月发布了准则列表,用户可以遵循这些准则来保护自己免受SIM交换攻击: 1.不要回复要求个人信息的电话,电子邮件或短信。 2.限制在线共享的个人信息。 3.设置账户PIN或密码。 4.对于具有敏感信息或财务信息的帐户建议使用更强的身份验证。 如果您遭遇了SIM卡交换攻击,可以采取一些抢救措施,例如: 1.立即联系您的服务提供商,举报欺诈行为并重新取回您的电话号码,并且立即更改您的帐户密码。 2.检查您的信用卡,银行和其他金融帐户是否被盗刷,如果发现任何损失,立马向银行报告。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

当iPhone用户滚动Facebook提要时,Facebook将秘密使用用户的相机

Facebook 又一个隐私问题曝光?iPhone用户Joshua Maddux推测Facebook可能会在用户查看Feed时使用相机。 Maddux在Twitter上发布的素材显示,他的手机摄像头在他滚动Feed时处于激活状态。 “当您在应用中打开照片并向下滑动时,由于存在一个bug,屏幕左侧会出现一个小细条用来摄像,这下子问题便显而易见了。TNW能够独立复现这个漏洞。” The Next Web 报道。 专家成功在iOS 13.2.2 版本中实现了漏洞复现,但是iOS 12不受影响。 Maddux补充说,他在五台运行iOS 13.2.2的iPhone设备上发现了相同的问题,但无法在iOS 12上复现。 “我观察到iPhone正在运行的iOS 12没有显示相机(不是说它没有被使用),” Maddux说。 TNW的人员注意到,仅当用户授予Facebook应用程序对您的相机的访问权限时,才会出现此问题。 在撰写本文时,仍不清楚该问题是否是预期的行为,该问题不适用于Android设备。 奥地利开发人员和Google工程师Felix Krause在2017年10月描述了类似的问题。专家解释说,iOS应用程序开发人员可以利用该漏洞,通过启动用户的前置和后置摄像头,来拍摄照片并录制实时视频。 根据Krause在博客文章中分享的技术文章 ,iPhone用户永远不会收到任何通知。 据专家分析,当前解决此问题的最佳方法是取消其摄像头访问权限。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接