分类: 数据泄露

研究发现即便是发现账号泄露之后用户也很少换密码

卡内基梅隆大学安全与隐私研究所的研究人员发现,在账号泄露之后只有很少一部分用户会去更换密码。这一结果不是基于调查数据而是真实的用户浏览器流量。这项研究采用了卡内基梅隆大学 Security Behavior Observatory (SBO)项目收集的用户数据,出于学术研究的目的,用户自愿选择分享完整的浏览器流量。 数据是在 2017 年 1 月到 2018 年 12 月之间收集的,除了 Web 流量外还有登陆网站的密码以及储存在浏览器内的密码。 在数据收集期间,249 名用户中有 63 名用户有账号泄露,而这 63 名用户只有 21 名用户访问了发生账号泄露的网站去修改密码,而这 21 名用户中有 15 名是在发生账号泄露 3 个月内修改的。   (稿源:solidot,封面源自网络。)

泰国移动运营商泄露 83 亿互联网记录

研究人员发现了泰国移动运营商 Advanced Info Service (AIS)子公司控制的一个 ElasticSearch 数据库可公开访问,数据库包含大约 83 亿记录,容量约为 4.7 TB,每 24 小时增加 2 亿记录。 AIS 是泰国最大的 GSM 移动运营商,用户约有 4000 万。可公开访问的数据库由其子公司 Advanced Wireless Network (AWN)控制,包括了 DNS 查询日志和 NetFlow 日志,这些数据可用于绘制一个用户的网络活动图。 研究人员尝试联系 AIS 但毫无结果,直到最后联络泰国国家计算机紧急响应小组之后数据库才无法公开访问。     (稿源:solidot,封面源自网络。)

因社交平台隐私问题 Twitter 和 WhatsApp 或面临欧洲制裁

Twitter以及Facebook旗下的WhatsApp又成了欧洲的攻击对象,围绕数据保护问题,欧洲很快就有可能会对美国科技巨头发起制裁。爱尔兰数据保护委员会称,针对Twitter数据泄露问题,5月22日确定一份草案,委员会呼吁欧盟其它国家在草案上签字同意。 委员会还说,在调查WhatsApp数据分享透明度时完成这份决定草案。按照要求,针对任何提出的制裁,Facebook服务必须发表评论,然后方便欧盟各国进行评估。 2018年5月,《通用数据保护条例》(General Data Protection Regulation,GDPR)正式生效,之后爱尔兰当局加大调查力度,但并没有给出最终决定。一些美国大型科技公司成为调查对象,包括Twitter、Facebook、谷歌、苹果,爱尔兰数据保护委员会是调查的主要倡导者。 如果发现企业严重违规,《通用数据保护条例》允许监管者处以年营收最高4%的罚款。法国监管机构之前曾向谷歌开出5000万欧元罚单,这是至今为止最大的数据保护罚单。 爱尔兰数据保护委员会还说,其它一些案件也取得进展,比如针对Facebook当地部门的尽职调查,委员会想知道Facebook是否为个人数据处理确立法律基础。     (稿源:新浪科技,封面源自网络。)

任天堂泄露事件愈演愈烈 3DS 操作系统源代码泄露

任天堂泄露事件愈演愈烈,据Resetera网友爆料,目前3DS操作系统的完整源代码已经流传到了网上。这次的泄露虽然没有包含设计文档,不过包含了许多有趣的开发文件。比方说根据Log文件中的引用,NVIDIA看起来在2006年时就曾参与到了3DS的开发中,其他泄露的文件目录可以参见此处。 考虑到3DS目前仍未淘汰,同时NS操作系统也是基于3DS操作系统,此次泄露的影响恐怕更为严重。 除此之外,《宝可梦:珍珠/钻石》的源代码也泄露到了网上,不过此次泄露中没有出现新的宝可梦原型。     (稿源:GamerSky游民星空,封面源自网络。)

黑客叫卖 Wishbone 4000 万注册用户的数据

外媒报道称,一名黑客正在叫卖 Wishbone 4000 万注册用户的详细信息,且宣称这批数据是在今年早些时候的黑客攻击活动中窃取的。作为一款流行的移动 App,其允许用户通过简单的投票调查,在两个物品之间展开比较。然而 ZDNet 指出,Wishbone 的大量注册用户信息正在多个黑客论坛上挂牌叫卖,价格仅为 0.85 个比特币(约 8000 美元)。 卖方挂出的示例表明,数据库中包含了 Wishbone 的用户名、电子邮件、电话号码、所在城市、以及密码的哈希值等信息。 黑客声称密码为 SHA1 格式,但 ZDNet 审查发现样本中包含 MD5 格式的密码。 作为一种弱密码散列格式,MD5 很容易被暴力破解算出原始的纯文本字符串,甚至线上就有许多可免费使用的破解工具。 此外数据库汇总包含了指向 Wishbone 个人资料图片的链接,样本中明显涵盖了大量的未成年人用户群体。 黑客声称 Wishbone 应用数据是在今年早些时候发生的一次攻击中窃取的,样本中包含的用户注册和最后登录日期可证明这一点(追溯到 2020 年 1 月),但目前尚不清楚是谁将它挂到黑客论坛上叫卖的。 ZDNet 分析发现,该黑客目前还在兜售数十家其它企业的数据库(总计超过 15 亿条记录),且大多数都来自前些年有被报道过的企业,比如 2017 年波及 Wishbone 的 220 万用户数据泄露事件。 尽管 Wishbone 未披露近年来的用户规模数据,但该 App 多年来一直是 iOS App Store 排名前 50 的社交类应用(甚至在在 2018 年窜升至前 10),谷歌 Play 商店的下载量也在 500 ~ 1000 万之间。   (稿源:cnBeta,封面源自网络。)

EFF 呼吁阻止谷歌收购 Fitbit:会收集大量用户的敏感数据

5月14日,欧洲消费者组织BEUC警告称谷歌收购Fitbit会改变数字健康市场的游戏规则,可能会损害消费者利益,同时阻碍创新。在近日电子前沿基金会(EFF)发布的公开信中,该机构也持相同的观点,希望能够阻止谷歌收购Fitbit,并希望得到之前已购买Fitbit产品用户的支持。 更具体来说,EFF认为只有Fitbit的用户才能帮助阻止这次收购,并向Fitbit用户发出了灵魂拷问。EFF问道:“你购买Fitbit产品的原因之一是不是不愿意向谷歌分享更多的数据?谷歌收购Fitbit是否让你有种无法逃脱谷歌数据收集魔爪的感觉?” EFF表示科技巨头并不一定会投资创新,而是更喜欢收购能够为创新加油的公司。EFF表示:“谷歌的两个标志性项目搜索和Gmail都是内部项目,但其他绝大多数产品的成功都是收购自其他公司。” EFF继续说道:“现在谷歌正尝试在Fitbit旧戏重演,这会让这家占主导地位的可穿戴健身追踪公司消失进入Googleplex中,而其中会收集大量用户的敏感数据。” 谷歌于去年11月官宣了这笔交易,通过收购Fitbit,谷歌试图在竞争激烈的健身追踪器和智能手表市场上与苹果和三星一较高下。在这一领域,华为和小米也是主要竞争者。 然而,批评人士表示,收购Fitbit将使这家美国科技巨头获得大量的健康数据。这些数据来自于Fitbit的健身追踪器和其他用于监控用户日常步数、卡路里消耗和行驶距离的设备。   (稿源:cnBeta,封面源自网络。)

梅赛德斯奔驰 OLU 源代码在网上曝光

外媒ZDNet获悉,梅赛德斯-奔驰货车上安装的“智能汽车”零部件源代码上周末在网上泄露。而在泄密事件发生之前,瑞士软件工程师Till Kottmann发现了一个属于戴姆勒公司(Daimler AG)的Git门户网站。戴姆勒是一家德国汽车公司,旗下拥有梅赛德斯-奔驰汽车品牌。 Kottmann告诉ZDNet,他可以在戴姆勒的代码托管门户上注册一个帐户然后下载580多个Git存储库,其中包含了梅赛德斯奔驰货车上安装的车载逻辑单元(OLU)的源代码。 什么是OLU? 根据戴姆勒的网站,OLU是介于汽车硬件和软件之间的一个组件,它负责将车辆连接到云端。 戴姆勒表示,OLU简化了对实时车辆数据的技术访问和管理并允许第三方开发人员创建从奔驰货车检索数据的应用程序。 这些应用程序通常用于跟踪货车在路上的情况、跟踪货车的内部状态或用于冷冻货车以防盗窃情况发生。 不安全的GitLab安装泄漏了OLU代码 Kottmann告诉ZDNet,他发现戴姆勒的GitLab服务器使用了一些简单的东西如Google dorks(专门的Google搜索查询)。 GitLab是一个基于web的软件包,各大公司用它来集中处理Git存储库。 Git是一种专门用于跟踪源代码更改的软件,它允许多人工程团队编写代码,然后将代码同步到一个中央服务器–在本例中则是戴姆勒基于Gitlab的网页门户。 Kottmann告诉ZDNet:“当我感到无聊的时候,我经常会寻找有趣的GitLab实例,大多数情况下都是使用简单的Google dork,对于几乎没有考虑到安全设置这件事一直让我感到惊讶。” Kottman表示,戴姆勒未能实施账户确认流程,而这使其能使用一个不存在的戴姆勒公司电子邮件在公司的官方GitLab服务器上注册一个账户。 这位研究人员称,他从公司的服务器上下载了超580个Git存储库,他计划在周末将其公开并将文件上传到文件托管服务MEGA、Internet Archive和他自己的GitLab服务器等几个地方。 针对这一情况,ZDNet审查了一些泄漏的Git存储库。他们查看的文件中没有一个包含开源许可,这表明这这些文件都是不应该公开的专有信息。 泄露的项目包括梅赛德斯厢式货车OLU组件的源代码,另外还有树莓派图像、服务器图像、用于管理远程OLU的戴姆勒内部组件、内部文档、代码样本等等。 虽然一开始泄露的数据看起来无害,但负责审查数据的威胁情报公司告诉ZDNet,他们发现了戴姆勒内部系统的密码和API令牌。如果这些密码和访问令牌落到一些怀有坏心思的人手中则可能会被用来计划和发动针对戴姆勒云计算和内部网络的入侵。 现在,ZDNet和Under the Breach都已经跟戴姆勒公司取得了联系,该公司已经从GitLab服务器下载了这些数据。不过戴姆勒发言人没有回复记者的正式置评请求。 Kottmann告诉ZDNet,他打算把戴姆勒的源代码留在网上,直到该公司要求他删除源代码。 然而,关于Kottmann行为的合法性仍存在一些疑问,因为他没有在周末在线发布源代码之前试图通知公司。 而另一方面,GitLab服务器允许任何人注册一个帐户,有些人可能会将其解释为一个开放的系统。此外,ZDNet在今日早些时候审查的源代码并没有出现这是专有技术的警告。     (稿源:cnBeta,封面源自网络。)

自 2016 年以来 Mandrake Android 恶意软件一直在窃取用户数据

比特梵德实验室的一支研究团队,刚刚曝光了一款名叫 Mandrake 的 Android 恶意软件。自 2016 年以来,它就一直在窃取用户的数据。Bitdefender 指出,其行为与大多数常见的威胁有所不同。Mandrake 并不致力于感染更多的设备,而是希望从用特定用户手上榨取更多的数据。从这一点来看,这款恶意软件在挑选受害者时,还算相当“挑剔”的。 与现实世界中的生物病毒一样,高传染性意味着更容易被发现。Mandrake 极力在隐藏自己,对特定受害设备的数据窃取利用到了极致。 实际上,根据 BitDefender 的深入分析,可知这款恶意软件被明确指定不得攻击某些地区的用户,包括前苏联、非洲和中东。澳大利亚被高度针对,美国、加拿大和某些欧洲国家也出现了很多感染案例。 Mandrake 于今年早些时候被首次发现,但其历史可追溯到 2016 年。据估计,当时该病毒已感染成千上万的设备,但最近一轮又扩散到了数十万人。 之所以谷歌 Play 商店迟迟未能揪出这款恶意软件,是因为 Mandrake 并未直接将这部分内容包含在程序本体。只有在接到指示之后,才会开启加载恶意行为的过程。 如此一来,它便能够避免被谷歌在早期筛查中发现。一旦将有效负载置于设备上,恶意软件便可立即窃取任何想要的数据,包括网站和应用的登陆凭据。 Mandrake 甚至可以重绘屏幕上的内容,意味着即使受害者看到了“完全正常”的页面、实际上却是在向恶意软件的幕后主使授予权限和相关数据。 Bitdefender 威胁研究和报告主管 Bogdan Botezatu 称之为“迄今为止最强大的 Android 恶意软件之一”,其最终目标是完全控制设备并染指用户账户。 为了不被发现,多年来 Mandrake 已经在谷歌 Play 商店里通过各种明目进行了传播,以及使用不同的开发者名称来打造诸多全新的应用。 此外为了给维持用户眼中“可信赖”的错误印象,开发者对“正经功能”的反馈响应也很是积极,甚至某些 App 还有与之关联的社交媒体活跃账号。 然而一旦恶意软件收集到了所有的数据,它便能够从设备上完全擦除自己的痕迹,导致用户根本不知道自己都经历了什么。 有鉴于此,我们还是建议大家尽量留意开发者的信誉是否良好,且不要通过不靠谱的平台去下载 App 。   (稿源:cnBeta,封面源自网络。)

美 FTC 证实正在调查视频会议软件公司 Zoom 侵犯隐私问题

5月12日消息,据国外媒体报道,受新冠疫情影响,视频会议需求大增,而其中最大的受益者包括视频会议软件公司Zoom。虽然,该公司目前风头正盛,但它也被曝光了很多问题,比如侵犯隐私问题。 加州众议员杰里·麦克纳尼(Jerry McNerney)和其他人对收集到的关于注册用户和非注册用户的信息、Zoom用户可能存储在云中的通信记录表达了担忧。 当地时间周一,美国联邦贸易委员会(FTC)主席约瑟夫·西蒙斯(Joseph Simons)表示,该机构正在调查有关Zoom的隐私投诉问题。 除了隐私问题外,Zoom还存在一些其它的负面新闻,比如,谷歌以担心安全性为由,禁止员工在电脑上安装和使用Zoom,超50万Zoom账户信息在暗网售卖等等。 随着视频会议需求大增,Zoom的用户人数也迅速增长。此前,该公司宣布,它已拥有3亿日活跃用户,较4月初的2亿活跃用户增长约50%。但后来,该公司又纠正了具有误导性的说法,承认自己并没有3亿日活跃用户,而是“每天有3亿个Zoom会议参与者”。 此外,由于视频会议需求大增,Zoom选择甲骨文作为其关键的云基础设施提供商,以增加其云计算能力。   (稿源:网易科技,封面源自网络。)

任天堂遭史上最大规模黑客攻击 Wii 完整源码和设计泄露

过去几周内的黑客活动因疫情隔离的影响变得更加活跃,索尼顽皮狗《最后的生还者2》泄密也被认为是黑客所为。隔壁任天堂在此前NNID账户被盗之后近日又被不法者盯上,导致了Wii主机的完整源码/设计方案和N64技术演示流出,可以说已经成为任天堂史上最大规模的泄露案件。 根据ResetEra论坛上的汇总,所有的数据都直接从一家和任天堂合作的公司内部窃取。BroadOn在Wii的硬件和游戏上和任天堂都有过交互合作,通过攻击BroadOn服务器黑客获得了Wii主机的所有源代码、数据表、设计框图以及每一个配件的Verilog文件(Verilog是一种硬件描述语言,通过代码文本来描述硬件结构和行为)。 除了Wii和N64的主机相关资料外,本次任天堂被泄露的还有大量《宝可梦》相关档案,包括了《宝可梦黄/蓝》、《宝可梦金/银》的调试版本和源码、《宝可梦日月/终极日月》的调试版本等。 鉴于Wii主机的档案属于商业机密,任天堂和BroadOn显然会付诸法律行动。尽管泄露出来的内容都已经过时,但从规模和性质上来讲,这都称得上是任天堂游戏史上性质最恶劣的黑客攻击。   (稿源:cnBeta,封面源自网络。)