标签: 信息泄露

美特勤局证实有海外黑客团队骗取失业救助金 已损失数亿美元

新冠疫情期间,美国各州发放了失业救助金。不过根据美国特勤局(U.S. Secret Service)最新发布的警告,有海外诈骗团伙利用此前窃取的身份资料申请救助金,导致数百万美元的资金外流。 援引《纽约时报》本周六报道,美国特勤局认为有一伙来自尼日利亚的犯罪分子利用此前从网络攻击中窃取的个人信息,可能窃取了最高数亿美元的救济资金。 根据纽约时报披露的一份特勤局备忘录,该诈骗团伙的主要目标是华盛顿州的失业办公室,但也攻击了佛罗里达州、马萨诸塞州、北卡罗来纳州、俄克拉荷马州、罗得岛和怀俄明州。 美国特勤局本周六证实,确认存在针对多州失业保险计划资金的犯罪行为,但没有就细节发表评论。该机构表示,这些盗窃案通常涉及骗子利用身份盗窃来提交虚假的失业保险金,然后利用社会工程来清洗由此产生的钱,这样犯罪分子就无法被追踪到。 美国特勤局在一份声明中写道:“特勤局的主要调查重点是减轻犯罪分子针对公民身份盗窃和网络犯罪的所有企图,而这次与COVID-19有关。”   (稿源:cnBeta,封面源自网络。)

万豪披露又一起数据安全事件 520 万客户信息泄露

本周二,万豪(Marriott)披露了旗下连锁酒店的又一起客户数据泄露事件。报道称事件发生于今年 1 月中旬,但直到 2 月下旬才被发现。调查发现有两名员工的登陆凭据有关,事件导致 520 万客户信息泄露。在堵上安全漏洞之后,万豪声称入侵者已被禁止访问。 在周二的公告中,万豪表示其发现了使用上述两个被盗的员工登陆凭据的“意外数量的来宾信息访问”。在封堵漏洞和禁用相关登陆凭据的同时,该公司声称还将增强监测能力。 确切的泄露细节,可能因不同的客户而异。万豪表示本次漏洞敞开了包括客户性别、生日、单位、会员账户积分、电话、邮件、邮寄地址、以及姓名等内容。 庆幸的是,目前尚无证据表明某些重要客户的信息被泄露,包括驾照号码、银行卡信息、PIN 码或护照信息。不过随着时间的推移,后续可能有某些敏感信息被黑客曝光。 从 3 月 31 日起,万豪将通过电子邮件的方式,向可能受到本次安全漏洞影响的客户发去通知。同时,酒店将为受影响的客户提供个人信息监控服务。 需要指出的是,这并不是万豪连锁酒店首次曝出大规模的安全漏洞。比如 2019 年初的时候,其系统泄露了多达 500 万客户的未加密护照号码。 事件被发现与喜达屋的预订系统有关,影响自 2018 年 9 月 11 日前入住多达 3.83 亿的客户信息。 不过除了万豪,希尔顿酒店也在 2015 年遭遇了两次不同的客户数据泄露事件,导致其被处以 70 万美元的罚款。   (稿源:cnBeta,封面源自网络。)

一波未平一波又起:公主邮轮承认公司存在数据泄露问题

据外媒报道,在两艘邮轮爆发了新冠病毒后被迫在全球范围内停止运营的Princess Cruises(公主邮轮)目前已证实存在数据泄露问题。据信,这份发布在其网站上的通知实际上是在3月初发布的。该份通知称,公司在2019年4月至7月的4个月时间内发现了大量未经授权的电子邮件账号登入,其中一些包含了职工、邮轮工作人员和客人的个人信息。 Princess Cruises指出,姓名、地址、社会安全号码和政府证件如护照号码和驾驶执照号码以及财务和健康信息都可能被窃取。但这家公司表示,潜在的影响数据并不是针对每位客人。 另外这家公司表示,他们是在2019年5月发现了这一网络可疑活动。目前并不清楚为何该它花费了近一年时间才披露这一漏洞。对此,该公司发言人没有立即回应置评请求。 拥有Princess品牌的嘉年华邮轮公司(Carnival)本周股价下跌了逾30%,此前这家公司宣布将暂停旗下18艘邮轮的营运。该公司在日本和最近的美加州分别发生了两起涉及载有数十名新冠病毒感染者的事件。 此外,Princess Cruises也没有说明是在哪个司法管辖区报告了这一数据泄露事件。如果是在欧洲,则会因违反欧洲数据保护规定而会被处以高达其年营业额4%的罚款处罚。   (稿源:cnBeta,封面源自网络。)

国泰航空因 2018 数据泄露事件被英国 ICO 罚款 50万 英镑

外媒报道称,因 2018 年在欧盟《通用数据保护条例》(GDPR)生效后发生的一次数据意外泄露事件,国泰航空已被英国数据监督机构处以 50 万英镑的罚款。据悉,本次漏洞暴露了全球约 940 万客户的个人详细信息,且其中有 111578 名来自英国。经过数月的调查,信息专员办公室(ICO)于今日正式宣布了这项惩罚。 外媒指出,这可能是根据英国相关法律而指定的最高罚款金额,且与该航空公司在 2018 年秋季发生的数据违例事件有关。 国泰航空当时表示,其在三月份首次发现了针对该公司系统的未经授权访问,但并未解释为何花了那么久的时间才公开。 本次违例导致乘客的详细信息被泄露,包括姓名、护照、出生日期、电子邮件地址、电话号码、以及历史旅行等敏感信息。 ICO 今日称,针对国泰航空系统的未经授权访问,最早可追溯到 2014 年 10 月 14 日。已知针对个人数据的窥探,最早记录是 2015 年 2 月 7 日。 监管机构在一份新闻稿中写道:“ICO 发现国泰航空公司的系统是通过连接到互联网的服务器进入的,并被安装了恶意软件来收集数据”。 调查期间,监管机构记下了大量的错误和疏漏,包括未对文件加上密码保护、没有给面向互联网的服务器打上补丁、使用不再受支持的操作系统、以及防病毒措施的不足。 由 ICO 对国泰航空的处罚可知,英国已将欧盟的 GDPR 框架纳入了该国的法律,对涉及个人数据的违例采取了更加严格的惩戒措施。 根据要求,在当地有开展业务的数据控制者在意识到违例行为发生后,必须在 72 小时内通报英国国家监管机构。 此外 GDPR 包含了更加严格的罚款制度,最高可达全球年营业额的 4% 。不过由于事件发生在新规生效之前,ICO 还是按照先前的英国数据保护法规来设定罚款金额,否则国泰航空将面临更猛烈的冲击。 去年夏天,曝出安全漏洞被利用的英国航空因在 GDPR 生效后泄露了 50 万名旅客数据,而被 ICO 处以年收入 1.5% 的罚款(高达 1.839 亿英镑)。   (稿源:cnBeta,封面源自网络。)

英国多个火车站免费 Wi-Fi 暴露用户数据

Security Discovery的一名研究人员发现,与英国多个火车站的免费Wi-Fi热点连接的用户数据已存储在非密码保护的数据库中。该数据库包含1.46亿条记录,其中包括电子邮件地址,年龄范围,旅行原因,设备数据和其他日志。 运营数据库的C3UK在2月14日星期五(即报告的同一天)限制了对数据库的公共访问。据发现这一问题的耶利米·福勒(Jeremiah Fowler)说,这样公开的电子邮件数据库增加了针对性网络钓鱼攻击的风险。 研究人员表示,许多人使用他们的真实姓名作为电子邮件地址的一部分,并进一步暴露他们的个人身份。在这种情况下,任何有互联网连接的人都可以看到用户所在的站点、时间戳、他们可能看到的广告、他们居住的邮政编码等等。每一条信息基本上都是一个拼图块,可以用来描绘用户的真实身份。 随着越来越多的免费Wi-Fi热点开始出现在城镇周围,提供商和消费者都将不得不开始思考如何更好地保护数据。对于最终用户来说,使用Jigsaw的Intra或虚拟专用网络等工具可以更好地保护数据。   (稿源:cnBeta,封面源自网络。)

Facebook 向 Cambridge Analytica 泄露用户信息,被巴西政府罚款 165 万美元

巴西因Facebook与 Cambridge Analytica 共享用户数据而对Facebook罚款165万美元。 检察官称,Facebook允许应用程序“ This is Your Digital Life”的开发人员访问巴西443,000位用户的数据。 “ This is Your Digital Life ” 应用发布于2014年 ,由Global Science Research(GSR)研发。该应用向用户提供1或2美元以进行在线调查,并请求访问该用户的个人资料信息。超过270,000个用户同意进行授权,这使得该应用可以使用这些信息进行学术研究。 丑闻遭到曝光之后,Facebook“暂停”了与Cambridge Analytica(CA)及其控股公司的所有业务。 巴西当局还开始调查隐私丑闻,以确定其公民的参与。 周一,巴西代表表示,“没有证据表明巴西的用户数据已转移到Cambridge Analytica”。 Facebook的发言人说:“我们已经更改了平台,并限制了应用程序开发人员可以访问的信息。” 巴西司法部指出,这家社交网络巨头未能充分告知其用户“默认隐私设置的后果”。Facebook对于隐私设置对访问“朋友和朋友的数据”可能产生的后果并不透明。” Facebook可以在10天之内对该决定提出上诉,并且可以在一个月内支付罚款。 2019年7月,美国联邦贸易委员会(FTC)批准了与Cambridge Analytica丑闻有关的Facebook创纪录的50亿美元和解协议。 2019年7月,意大利数据保护监管机构因违反隐私法,对Facebook 处以 100万欧元(110万美元)的罚款。 2018年10月,英国信息专员办公室(ICO) 因为同样的原因对Facebook 罚款 500,000英镑。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

物联网供应商 Wyze 确认服务器发生泄露

据外媒ZDNet报道,Wyze是一家销售安全设备(如安全摄像头、智能插头,智能灯泡和智能门锁)的公司,该公司周日证实发生了服务器泄露,大约240万客户的详细信息遭泄露。Wyze联合创始人在圣诞节期间发表的论坛帖子中说,泄露是在内部数据库意外在线暴露之后发生的。 该公司表示,公开的数据库-一个Elasticsearch系统-不是生产系统;但是,服务器正在存储有效的用户数据。Elasticsearch服务器是一种用于支持超快速搜索查询的技术,旨在帮助该公司对大量用户数据进行分类。该公司表示:  ‘’为了帮助管理Wyze的快速增长,我们最近启动了一个新的内部项目,以寻找更好的方法来衡量基本的业务指标,例如设备激活,连接失败率等。 我们从主要生产服务器复制了一些数据,并将其放入更灵活的数据库中,以便于查询。最初创建此新数据表时,该表受到了保护。但是,Wyze员工在12月4日使用此数据库时犯了一个错误,并且该数据的先前安全协议已删除。我们仍在调查此事件,以找出原因和发生方式。” 泄露的服务器是由网络安全咨询公司Twelve Security发现并记录的,并由IPVM(一个致力于视频监控产品的博客)的记者进行了独立验证。 Wyze公司对Twelve Security和IPVM如何处理数据泄漏公开表示不满,在公开调查结果之前,Wyze仅用了14分钟的时间解决了泄露问题。 “我们是12月26日上午9:21通过IPVM.com的记者通过支持票与我们联系的。该文章几乎是在紧随其后发布的(上午9:35发布到Twitter)。一家私人安全公司的博客文章也于12月26日发布。我们在大约上午10:00时已从阅读该文章的社区成员那里获悉了这篇文章。” Wyze确认泄露的服务器暴露了详细信息,例如用于创建Wyze帐户的客户电子邮件地址,分配给Wyze安全摄像机的昵称用户,WiFi网络SSID标识符以及对于24000位用户而言的Alexa令牌,这些令牌将Wyze设备连接到Alexa设备。 Wyze高管否认Wyze API令牌是通过服务器公开的。Twelve Security在其博客文章中声称,他们找到了API令牌,他们说这些令牌可以使黑客从任何iOS或Android设备访问Wyze帐户。不过Wyze否认了Twelve Security的说法,即他们正在将用户数据发送回阿里云服务器。 第三,Wyze还澄清了Twelve Security声称Wyze正在收集健康信息的说法。该公司表示,他们只从140个正在对新的智能秤产品进行Beta测试的用户中收集健康数据。 Wyze没有否认其收集的身高,体重和性别信息。但是,他确实否认了其他方面。 “我们从未收集过骨密度和每日蛋白质摄入量。我们希望我们的规模如此之大。” 就目前而言,涉及此泄露的披露三方在此特定泄露事件的细节方面似乎不一致。无论哪种方式,Wyze都表示决定从所有帐户中强制注销所有Wyze用户,并且与所有第三方应用程序集成不同,这两个步骤将在用户重新登录并重新链接Alexa设备到Wyze帐户后生成新的Wyze API令牌和Alexa令牌。   (稿源:cnBeta,封面源自网络。)

Maze 勒索软件公布从彭萨科拉市盗取的文件

Maze勒索软件近期发布2GB的文件,有消息称这些文件正是从彭萨科拉市所盗取。 本月彭萨科拉市遭到勒索软件攻击,该市的通信系统受到影响,网络系统几近瘫痪。据Bleeping Computer证实,这一事件的发生正是因为受到Maze勒索软件的攻击。昨天,Maze勒索软件也发布了32GB文件中的2GB文件,他们声称这些文件来源于在加密网络前就已盗取该市的网络数据,若想解密数据,需花费赎金100万美元。 在Bleeping Computer与Maze相关黑客人员的商讨中,Maze方透露,他们所盗取的文件远不止发布的2GB. “这是媒体报道的错误,我们所盗取的数据远不止如此,我们也不想给这座城市造成压力,也早已表明了真实的意图,但现在还没到我们想到的预期。” 当Bleeping Computer询问他们是否打算发布其余的数据时,他们的回答是“这取决于彭萨科拉市政府”。   消息来源:bleepingcomputer, 译者:dengdeng,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文

恶意 SDK 收集 Facebook 和 Twitter 用户个人数据

据Facebook和Twitter透露,一些第三方应用未经用户同意便获取了用户的个人信息。 这些第三方iOS和Android应用程序使用了恶意SDK。SDK被用来展示广告,不过专家们注意到,一旦使用这些应用程序将社交网络的用户登录到任一服务中,SDK就会静默访问其个人资料并收集信息,包括用户名,电子邮件地址和推文。 这些恶意SDK是由营销公司OneAudience开发的。推特已经将这个消息告知其用户。 “我们最近收到了一份有关由恶意SDK的报告。 这个问题不是由于Twitter软件中的漏洞所致,而是由于应用程序内的SDK之间缺乏隔离性。我们的安全团队已经确定,可以嵌入到移动应用程序中的恶意SDK可能会利用移动生态系统中的漏洞访问并获取个人信息(电子邮件,用户名,最新一条推文)。 ” 即使专家没有发现证据表明恶意SDK会被用来控制Twitter帐户,他们仍然没有排除黑客可能使用SDK进行攻击的可能性。 Twitter知道恶意SDK已经通过Android设备访问某些Twitter帐户的个人数据,但iOS设备还没有出现过类似的事件。 Twitter向Google和Apple以及其他同行报告了此事件,并呼吁采取相对应的措施来阻止包含其代码的恶意SDK和应用。 Facebook发现了两个具有类似目的SDK,它们分别是One Audience和Mobiburn。 据称,恶意SDK收集了个人资料信息,包括姓名,性别和电子邮件地址。 Facebook发言人告诉 The Register: “安全研究人员最近向我们通报了One Audience和Mobiburn,他们收买开发人员,以在应用中使用恶意SDK。” “经过调查后,我们根据违反平台政策的原因将其应用程序从平台上删除,并向One Audience和Mobiburn发出了终止信函。如果用户的操作可能使他们的身份信息遭到泄露,我们将提示他们保护好自己的姓名,邮箱和性别等信息。我们希望用户在允许第三方应用程序访问其社交媒体帐户时保持谨慎。” oneAudience没有对此事件发表评论,但与此同时MobiBurn发表声明,否认其正在收集Facebook数据,并宣布对使用其SDK的第三方应用程序展开调查。 “MobiBurn没有收集,共享或分享来自Facebook的数据获利。 MobiBurn主要通过捆绑销售来充当数据业务的中介,例如捆绑第三方开发的SDK。 MobiBurn 无权访问移动应用程序开发人员收集的任何数据,也不处理或存储此类数据。 我们仅向移动应用程序开发人员介绍数据运营公司。不过MobiBurn目前已经停止了所有活动,直到我们结束对第三方的调查。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国加州车管部门通过出售私人数据每年赚取 5000 万美元

我们曾经听说过大型科技公司通过出售私人数据赚钱,但美国全国各地的汽车管理部门也在通过这种做法赚钱,其中包括加利福尼亚的汽车管理部门,该部门每年通过出售驾驶员个人信息获得5000万美元的收入。 公共记录法案已经记录了有多少公司向加利福尼亚汽车管理部门支付数据费用。在2017/2018财政年度,这一数字为52,048,236美元,而2013/2014财年为41,562,735美元。这些数据信息包括驾驶者姓名,实际地址和汽车注册信息。 虽然该文件没有具体说明哪些公司要求提供这些信息,但其中包括数据经纪商和信贷机构。一些汽车管理部门还向私人调查员出售了信息,在某些情况下,他们被雇用来寻找配偶是否出轨。 加州汽车管理部门表示,数据请求者还可能包括保险公司,车辆制造商和准雇主,而赚取的金钱用于公共和高速公路安全,包括提供保险,风险评估,车辆安全召回,交通研究,排放研究,背景调查等等。   (稿源:cnBeta,封面源自网络。)