标签: 信息泄露

美女童军加州奥兰治县分部网络遭攻击 或涉及 2800 名成员信息泄露

据 Threat Post报道,美国加利福尼亚州奥兰治县(Orange County)的女童军分部 (GSOC)遭到了黑客攻击,最多可能有2800名女童军成员的个人和家庭信息资料遭到了“未授权第三方”的泄露,该组织已经向所有填写申请的成员邮箱发送了一份通知信,承认其会员数据遭到了泄露事故。 GSOC的任务执行副主席Christina Salcido在通知信件中向奥兰治县(Orange County)的美女童军分部成员致歉,并且披露了泄露信息的情况。未授权第三方非法访问了该分布协同安排部队旅行计划的账号,破解进入了GSOC的计算机网络,获得了成员的个人信息数据。这些被泄露的数据可能包括成员的姓名,出生信息,电邮地址,家庭地址,驾驶执照,健康病例和保险号等等。 GSOC希望各位女童军和家长密切注意涉及财务诈骗的可疑消息或伪装的账号,通过传统邮箱寻求GSOC分部的确认。   稿源:cnBeta,封面源自网络;

接受信息泄露教训:传 Facebook 有意收购网络安全公司

新浪科技讯 北京时间10月22日早间消息,据美国科技媒体The Information援引知情人士消息称,Facebook上周日已与几家网络安全公司就潜在收购事宜进行接触,收购目标尚未最终确定,但交易结果或将在今年年底宣布。 美国科技媒体CNET对此评论称,在经历了历史上最重大的黑客攻击事件之后,Facebook希望它的数十亿用户知道平台已经准备投入网络安全领域。 在不到一个月前,Facebook发现了一个安全漏洞,黑客可利用这个漏洞控制用户帐号,这一事件催生了Facebook强化网络安全的最新举措。Facebook最初怀疑有多达5000万的用户帐号受到影响,但现在承认2900万用户的个人信息被泄露,包括电话号码、电子邮件地址和最近的搜索内容。 据《华尔街日报》报道,Facebook已经初步得出结论,假扮成数字营销公司的垃圾邮件制造者是造成大规模安全漏洞的幕后黑手。 Facebook已经表示正在与美国联邦调查局合作,后者要求该公司不要公开讨论谁是袭击的幕后主使,或者是否特别针对任何人。目前还没有理由认为这次黑客袭击与即将举行的美国中期选举有关。 受到袭击的安全漏洞源于Facebook平台“view as”功能中的一个漏洞,攻击者利用了与其相关的代码,窃取“访问令牌”,接管了一些用户的帐号。攻击者还使用了一种技术,从已被控制的帐号的朋友那里窃取访问令牌,从而扩大访问范围。 Facebook发言人拒绝就上述报道置评。   稿源:新浪科技,封面源自网络;

美国中期选举将近 3500 万人资料泄漏 黑客:在政府有人

新浪科技讯 10月17日下午消息,据中国台湾地区媒体报道,随着美国中期选举即将于下个月展开,威胁情报业者Anomali Labs及网络安全业者Intel 471本周一联手揭露他们发现有人在某个黑客论坛中兜售美国19州的选民资料,其中3州的选民资料就高达2,300万人,估计总数将超过3,500万人,且根据研究人员的查证,这些资料的可信度很高。 每一州的选民资料价格不同,视州别及数量从150美元到12,500美元不等,例如路易斯安那州300万选民资料的价格为1,300美元,而德州的1,400万选民资料即要价12,500美元;资料内容包含选民的姓名、电话、地址及投票纪录等,卖家甚至承诺会每周更新资料。 根据卖家的说法,他们在州政府内部有人,可每周收到最新资料,有时还要亲自到该州取得资料。意谓着这些资料的外泄不一定是来自于技术上的入侵,而很可能是有心人士自合法管道取得选民资料后恶意进行的散布。 不管资料来源如何,暗网中已经有人发动众筹来购买这些名单,并打算于黑客论坛上公布所购得的选民资料,已成功集资200美元,买下了堪萨斯州选民名单,亦已开放论坛用户下载。 研究人员指出,选民名单应是不能用在商业目的,也不得在网络上公布,却有未经授权的组织企图利用这些名单获利,选民名单曝光的选民资料再加上诸如社会安全码或驾照等外泄资料,可能会被犯罪份子用来进行身分诈骗或其它非法行为。   稿源:新浪科技,封面源自网络;

GovPayNet 凭证系统存在漏洞 1400 万交易记录被曝光

GovPayNet是总部位于美国印第安納波利斯市(Indianapolis)的私营企业,为美国35个州的2300多个美国政府机构提供在线支付服务。根据最新信息,自2012年以来大概有1400万条包含收据信息的记录被泄露。据安全研究员Brian Krebs报道,公司网站GovPayNow.com允许任意人访问收据数据,其中包括法院下达的罚款、保释金以及交通罚款等等。 美国用户在完成付款处理之后,GovPayNow.com就会发出确认收款的数字收据,而用户可以通过修改不同的ID来轻松访问其他用户的收据信息。Krebs实际演示中,通过简单地修改收据URL中的ID数字,就能轻松访问GovPayNet支付系统中的任意凭证,包括收据所有者的全名、居住地址、手机号码以及交易所使用行用卡的后四位数字。 在发现安全问题后,研究人员向GovPayNet发出了关于该问题的警报,并在两天后收到答复,确认他发现的“潜在问题”已得到解决。“目前没有迹象表明有黑客利用任何不正当访问的信息来伤害任何客户,收据中不包含可用于启动金融交易的信息。”   稿源:cnBeta,封面源自网络;

大量 Mega 帐户的登录信息遭泄露并暴露了用户文件

据外媒 ZDNet 报道,Mega —— 这家于新西兰成立并提供在线云存储和文件托管服务的公司,目前被发现其平台中有成千上万的帐号凭证信息已在网上被公开发布。 被泄露的信息以文本文件形式提供,据了解这份文本文件包含超过 15,500 条用户名、密码和文件名的数据,这意味着这些帐号都曾出现异常登录的情况,并且帐号中的文件名也被爬取了。 这份文本文件最早由 Digita Security 公司的首席研究官和联合创始人 Patrick Wardle 于6月份在恶意软件分析网站 VirusTotal 上发现,而这份文件是在几个月前由一名据称在越南的用户上传的。 Wardle 提供的数据截图 ZDNet 表示他们已验证这些帐号,确认这些数据来自 Mega,通过联系多位用户,还确定这些电子邮件、密码和一些文件都是在 Mega 上使用的。 据”Have I Been Pwned”网站的管理员 Troy Hunt 分析,这些数据并不是通过直接入侵 Mega 而获取的,而是被撞库了。他说文件中 98% 的电子邮件地址已经存在于他的数据库中(于先前的漏洞中收集)。ZDNet 也表示,在他们联系的人中,有五人说他们在不同的网站上使用过相同的密码。 目前还不知道是谁创建的这份列表,也不知道这些数据是如何被爬取到的。虽然 Mega 提供端到端加密,但登录时没有使用双因素身份认证方式,因此攻击者只需使用登录凭据便可登录每个帐户,并抓取帐号中文件的文件名。 Mega 董事长 Stephen Hall 表示,Mega 不能通过检查文件内容来充当审查员的角色,因为它在被上传到 Mega 之前已在用户的设备上被加密,除了在技术上不可行之外,Mega 和其他主要云存储提供商实际上也做不到,毕竟每秒上传 100 多个文件。 这不是 Mega 第一次遇到安全问题。2016年,黑客声称通过利用其服务器中的安全漏洞获取了内部 Mega 文档。黑客还表示获取了与管理帐户关联的七个电子邮件地址。 Stephen Hal 表示当时没有任何用户数据遭到破坏。   稿源:开源中国,封面源自网络;

美国大数据公司失误泄露 2TB 隐私信息:涉 2.3 亿人

据Wired报道,本月初曝光的市场和数据汇总公司Exactis服务器信息暴露的事情经调查为实。 Exactis采集了大约3.4亿条记录,大小2TB,可能涵盖2.3亿人,几乎是全美的上网人口。 Exactis此次的信息泄露并不是黑客撞库引起或者其它恶意攻击,而是他们自己的服务器没有防火墙加密,直接暴露在公共的数据库查找范围内。 最早发现的安全研究员Vinny Troia称,他想搜索的所有人的资料都可以在泄露数据中找到,《连线》的记者给了10个名字,最后准确返回6个结果。 虽然上述信息中不包含信用卡号、社会保障号码等敏感的金融信息,但是隐私深度却超乎想象,包括一个人是否吸烟,他们的宗教信仰,他们是否养狗或养猫,以及各种兴趣,如潜水和大码服装,这几乎可以帮助构建一个人的几乎完整“社会肖像”。 目前,Exactis已经对数据进行了加密防护。在其官网,Exactis号称服务2.18亿独立用户,总计收集了超过35亿条商业、消费者和数字信息。   稿源:快科技,封面源自网络;

谷歌改口,将修复地理位置信息泄露问题

雷锋网消息,据外媒美国时间 6 月 18 日报道,未来几周内,谷歌将修复旗下两款最火爆消费级产品的地理位置信息泄露问题。最新研究显示,只需在后台运行一个简单的脚本,黑客就能从 Google Home 或 Chromecast 电视棒上搜集精确的位置信息。 来自安全公司 Tripwire 的研究者 Craig Young 表示,他发现了谷歌这两款产品上的一个身份验证的弱点,黑客能通过弱点拿到用户极为精确的地理位置信息。原来,他们只需询问谷歌设备附近无线网络的名单,随后将该名单发给谷歌的地理位置查询服务就行。 “黑客完全可以进行远程攻击,只要能让受害者连接在相同 Wi-Fi 或有线网络上的产品,打开一个链接就行。”Young 说道。“不过,这种攻击方法有其局限性,因为这个至关重要的链接至少要开启一分钟以上,攻击者才能拿到精确的地理位置信息。” 一般来说,网站都会记录访问者的数字 IP 地址,如果结合在线地理定位工具使用,就能搜集到访问者所处地理位置的信息。不过,此类地理位置信息在准头上可差得多。 但是,谷歌的地理位置数据可不一样,它们在全球有用大量无线网络名称的综合性地图,每个 Wi-Fi 网络都有对应的物理地址。掌握了这些数据的谷歌,通过三角测量甚至能将用户地位精确到几英尺之内。(如果你不信,就请关掉手机上的定位数据并移除 SIM 卡,这时手机照样能找到你的位置)。 “与普通的 IP 地址定位相比,谷歌的位置数据精准度要高出不少。”Young 说。“如果现在我定位了自己的 IP 地址,得到的数据只能落在我周边 2 英里之内。如果用家里的 IP 地址进行定位,位置漂移甚至能达到 3 英里。一旦黑客拿走谷歌的位置数据,定位精度就能缩短到设备周边 10 米左右。” “我只在三种环境下进行过测试,每次得出的地址都相当精确。”Young 说道。“基于 Wi-Fi 的定位主要靠对信号强度、接入点以及用户手机位置(已知)的三角测量得出。” 这个弱点除了会曝光 Chromecast 或 Google Home 用户的位置信息,还能让黑客有机可乘,发动钓鱼和勒索攻击。 其实全世界的骗子都差不多,美国的也喜欢冒充 FBI 或国税局来恐吓你,他们甚至还会威胁向你的家人和朋友泄露某些秘密,而精确的地里位置信息会成为骗子的帮凶,增加他们的手的几率。 雷锋网了解到,今年 5 月,Young 向谷歌报告了自己的发现,不过搜索巨头直接回复称,自己不会修复这个问题。但后来它们改了口,称准备推送升级包解决这两款设备的隐私泄露问题。据悉,这个升级包将于今年 7 月  中旬正式推送。 “我们必须假定,在本地网络上可以访问的任何无认证数据攻击者也能随意接入。”Young 在博客中写道。“这就意味着,所有请求都必须进行验证,而所有未验证的响应都越模糊越好。” “如果你不太懂技术,解决该问题最好的方案就是为联网设备专门添加一个路由器。”Young 在博客上写道。“只需将新路由器的 WAN 口连上现有路由器的开放 LAN 端口,攻击者漂浮在主网络中的代码就不能随意控制这些联网设备了。虽然这种方案并非终极防御之术,但防范普通的攻击者绰绰有余了,因为他们中大多数人恐怕根本就意识不到自己还得攻克另一个网络。   稿源:雷锋网,封面源自网络;

美国征信公司信息泄露事件升级 新增 240 万受害者

据瑞士资讯 3 月 1 日援引法新社报道,美国征信公司伊奎法克斯( Equifax )当日表示,关于 2017 年 9 月曝出的 1.4 亿用户个人信息泄露事件,近日又发现另外 240 万名受害者。 伊奎法克斯的法务调查报告显示,除了有 1.4 亿名美国人姓名、生日和社会安全号码等个人信息泄露外,还有 240 万人用户的个人信息受影响。伊奎法克斯称,之前未发现新的受害客户,是因为他们的社会安全号码并未与部分驾照资讯一同被窃取。而社会安全号码似乎是被黑客攻击的重点。 该公司还表示,将会通知这些用户,并为他们提供防盗保护和信用报告监控服务。 稿源:cnBeta、环球网,封面源自网络;

URL 传输库 libcurl 现多个漏洞或致敏感信息泄露,最早可追溯至 1999 年

外媒 1 月 25 日消息,研究人员发现客户端 URL 传输库 libcurl 正受到一些漏洞影响。其中一个在很大程度上与 HTTP 请求中处理自定义标头的方式有关,可能会导致认证数据泄露给第三方。 除此之外,一个 “HTTP/2 trailer out-of-bounds read ” 的漏洞也对 libcurl 造成了一定困扰。 HTTP 请求中处理自定义标头 当被要求在 HTTP 请求中发送自定义标头时,libcurl 会首先将这组标头发送给初始 URL 中的主机。但若被要求遵循重定向,并且返回一个 30X 的 HTTP 响应代码,那么 libcurl  则会发送给响应头值中的 URL 所提及的主机。 研究人员称,将同一组标头发送到子序列主机对于传递自定义 Authorization 的应用程序来说是一个特殊的问题。因为这组标头通常包含敏感的信息和数据, 可能会被攻击者滥用来模拟 libcurl-using 客户端请求。 这一漏洞被跟踪为 CVE-2018-1000007 ,在 1999 年就已出现。目前受影响的是 libcurl 7.1 至 7.57.0  的版本,后续版本(7.58.0)不受影响。 HTTP/2 trailer 越界读取漏洞 进行访问时数据会被越界读取,从而导致崩溃或者(太大的)数据被传递给 libcurl 回调。若有人的服务能够响应或使用 trailer 头域,那么很可能会导致拒绝服务或信息泄露的情况出现。 该漏洞被跟踪为 CVE-2018-1000005 , 影响 libcurl 7.49.0 至  7.57.0 的版本。所幸目前研究人员并没有发现到这个漏洞在野外被利用。 消息来源: Security Affairs ,编译:榆榆,校审:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国国土安全部发表声明,应对 24.6 万员工信息泄露事件

前景提要:2017 年 5 月,美国国土安全部 ( DHS ) 一名员工的家用电脑服务器被发现存有 24.6 万名截至 2014 年底进入 DHS 的员工个人敏感信息。从 2017 年 5 月到 11 月,国土安全部进行了彻底的隐私调查。 据外媒报道,DHS 针对该起事件于 1 月 3 日发表声明称由于国土安全部监察长办公室(OIG)的案件管理系统(CMS)的缺陷,以至于雇员信息遭到泄露。目前事件影响了 DHS 雇用的 24.6 万员工,以及 2002 年至 2014 年与 DHS OIG 调查相关的主体、证人和投诉人的私密信息,其中包括姓名、社会安全号码、出生日期、职位、职级和工作地点。DHS 表示已向受影响的个体发送通知信,并承诺不会再出现类似事件。 DHS 的声明没有透露该前雇员的具体信息,也没有提供调查的进行细节。但 DHS 强调,这一事件并不是由外部恶意行为者发起的网络攻击,受影响的个体信息也不是事件的主要目标。 美国国土安全部首席隐私官 Phillip Kaplan 称 DHS 非常重视为本部员工服务的义务,并致力于保护他们的信息。据悉,所有可能受到影响的个体都获得了 18 个月的免费信用监控和身份保护服务,同时也被要求警惕声称国土安全部的人的可疑电话,以及任何询问敏感信息的人士。 DHS 表示目前正在实施额外的安全防范措施来限制对信息的访问,并将采取严格的检查措施来识别任何不寻常的访问模式。 消息来源:IBTimes,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。