标签: 数据泄露

安全研究人员发现亚马逊上销售的儿童智能手表存在严重安全漏洞

安全研究人员发现了亚马逊上销售的一系列儿童智能手表存在严重漏洞。研究人员警告说,潜在的黑客可以利用这些安全漏洞来接管设备,并且可以跟踪孩子,甚至与他们进行对话。 安全公司Rapid7披露了在亚马逊上出售的三款儿童智能手表存在安全漏洞,这三款儿童智能手表是Duiwoim,Jsbaby和Smarturtle,价格不到40美元。它们被用作跟踪设备,以跟踪孩子并允许父母向孩子发送消息或者打电话。 但是Rapid7的安全研究人员发现,与佩戴手表的孩子保持联系的不仅仅是父母,因为它们内建的过滤器本来只允许白名单上的电话号码与手表联系,但是Rapid7发现此过滤器根本不起作用。 这些手表还通过短信接受了配置命令,这意味着潜在的黑客可以更改手表上的设置,从而使孩子处于危险之中。研究人员说,这三款手表都使用相同的软件,因此,这三款手表的漏洞会全面扩散。 Rapid7的研究人员还发现,这三款智能手表的默认密码完全相同,它们都是123456。Rapid7说,人们不太可能更改此密码,设备甚至不会告诉用户密码存在或如何更改。研究人员警告说,凭借这种简单的密码和通过短信更改配置的能力,潜在的黑客可以接管设备并跟踪孩子,甚至将智能手表与自己的手机配对。 Rapid7发现的另一个明显缺陷是,无法联系三款智能手表的制造商。 Rapid7的研究人员没有任何办法与制造商取得联系,因此担心无法解决这些漏洞。亚马逊目前没有回应是否要从商店中下架这三款儿童智能手表。   (稿源:cnBeta,封面源自网络。)

超过 75.2 万美国人出生证明泄露 受影响人数还在不断增加

一家允许美国人获取出生/死亡证明的在线公司被爆信息泄露事件。目前在Amazon Web Services (AWS) 储存库中发现了超过75.2万美国人的出生证明副本,此外的还有90400个死亡证明申请,不过无法访问或者下载。 该储存库没有进行密码保护,任何人都可以通过非常容易猜测的URL网址来访问这些数据。虽然美国各个州的申请流程各不相同,但都会执行一项相同的任务:允许美国人向该州的记录保存机构(通常是州卫生部门)提出申请,以获取其历史记录的副本。我们审查的申请书包含申请人的姓名,出生日期,当前家庭住址,电子邮件地址,电话号码和历史个人信息,包括过去的地址,家庭成员的姓名和申请理由(例如申请护照)或研究家族史。 根据对数据的调查,发现这些申请最早可以追溯到2017年年末,并且该储存库每天都处于更新状态。在短短一周时间内,该公司向该储存库中添加了将近9000条申请记录。总部位于英国的渗透测试公司Fidus Information Security发现了暴露的数据。 TechCrunch通过将名称和地址与公共记录进行匹配来验证数据。 外媒已经与当地数据保护机构联系,以警告安全漏洞,但它没有立即发表评论。   (稿源:cnBeta,封面源自网络。)

微软研究发现其 4400 万个帐户使用已泄露的密码

微软在2019年对超过30亿个公司账户进行了密码重用分析,以找出微软客户使用的密码数量。该公司从公共来源收集密码散列信息,并从执法机构获得额外数据,并将这些数据用作比较的基础。 对2016年密码使用情况的分析显示,约20%的互联网用户重复使用密码,另有27%的用户使用的密码与其他账户密码几乎相同。2018年的研究结果显示,大部分网民仍然青睐弱密码,而非安全密码。 像Mozilla或Google这样的公司都引入了改善密码使用的功能。谷歌于2019年2月发布了其密码检查扩展程序,并于2019年8月开始将其本地集成到浏览器中。该公司还于2019年在其网站上推出了针对Google帐户的新密码检查功能。Mozilla将Firefox Monitor集成到Firefox 浏览器中,该浏览器旨在检查弱密码并监视密码是否已经泄漏。 微软一直在推动无密码登录已经有一段时间了,该公司的密码重用研究提供了一个原因。根据微软的说法,4400万个Azure AD和微软服务帐户使用在泄漏的密码数据库中也可以找到的密码。这大约是该公司在研究中检查所有凭证的1.5%。 现在微软将强制重置泄露的密码。微软用户将被要求更改帐户密码。目前尚不清楚如何将信息传达给受影响的用户或何时重置密码。在企业方面,微软将提高用户风险并警告管理员,以便可以强制执行凭据重置。微软建议客户启用一种形式的多因素身份验证,以更好地保护其帐户免受攻击和泄漏。根据微软的说法,如果使用多因素身份验证,则99.9%的身份攻击不会成功。   (稿源:cnBeta,封面源自网络。)

TrueDialog 的数据库泄露数千万条 SMS 短信

TrueDialog是一家为企业和高等教育机构提供业务的SMS提供商,其数据库被曝出泄露了数百万条SMS消息。 数据库中包含的大多数SMS信息是由企业发送给潜在客户的。 TrueDialog 专注于提供几种不同的SMS程序,包括群发短信, 营销短信,紧急警报,教育方案等。 该公司目前与990多家手机运营商合作,拥有超过50亿用户。 vpnMentor表示:“除了私人短信,我们的团队还发现了数以百万计的帐户的用户名、密码、个人验证信息以及客户数据。” “由于没有保护好数据库,TrueDialog损害了美国数百万人的安全和隐私。” 该公司的数据库不受保护,数据以纯文本格式存储,由Microsoft Azure托管,并在Oracle Marketing Cloud上运行。 研究人员称此数据库包含10亿个条目,来自1亿多美国公民,并且根据他们此前的分析,这些数据将近有604 GB。 vpnMentor试图向TrueDialog 报告他们的发现,但他们从未收到回复。该数据库于11月19日被发现,专家于11月28日向TrueDialog提交了报告,并于随后对数据库展开维护。 “此次数据泄露事件将会影响到亿万用户。这些信息可能会被出售给营销商和垃圾邮件推送。” vpnMentor 称,“TrueDialod 竞争对手可以看到其后端工作原理,并且使得他们复制TrueDialog成功的业务模型或由此改进自己的业务模式。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

俄勒冈 FBI 警告:智能电视易被黑客入侵 危及用户隐私

随着假日购物季的到来,许多消费者可能正在考虑为自家升级一些智能设备,比如 Google Nest Home、Amazon Alexa 等智能扬声器,或者集成了语音助理的智能电视。然而美国俄勒冈州联邦调查局办公室指出,随着智能电视扮演着越来越多的娱乐和控制中心角色,网络犯罪分子已经将黑手伸向了这一领域,或对用户隐私造成严重的侵害。 FBI 的这一警告,本身是一种相当常识性的建议,资深网民早已对此见怪不怪。问题在于,除了麦克风之外,还有越来越多的智能电视集成了摄像头组件。 传统麦克风仅用于识别语音命令,而相机则能够用于用户识别和视频聊天。一些厂商或基于此,提供个性化的内容推荐。 然而在连上互联网之后,设备的隐私安全就被提上了重要的议程,因为有无数看不见的黑手向沾染用户的终端设备。 尽管带有这类功能的智能电视的普及率还较低,但黑客攻击事件确实存在、且并不罕见。显然,FBI 希望在引发大事件之前,尽早地培育消费者的忧患意识。 目前目前最常见的隐私风险,就是数据收集。在注册每一款网络服务的时候,几乎都逃不开这个话题。 遗憾的是,无论在智能电视、或其它物联网产品上,人们几乎没有仔细阅读相关提示的习惯。   (稿源:cnBeta,封面源自网络)

2100 万 Mixcloud 用户数据在暗网出售

在线音乐流媒体服务Mixcloud最近遭到黑客的攻击,用户数据在暗网上出售。 近期,一名昵称为“ A_W_S”的黑客联系了多家媒体曝光了此事件,并提供了数据样本作为数据泄露的证据。 此次攻击发生在11月初,超过2000万个用户帐户的数据遭到曝光。这些数据包括用户名,电子邮件地址,SHA-2哈希密码,帐户注册日期和国家/地区,最近一次登录日期,IP地址以及个人资料照片的链接。 Techcrunch发布的文章称:“我们通过注册功能验证了部分被盗数据。这些被盗数据的确切数量仍是未知。卖方说他们拥有2000万条记录,但暗网上存在2100万条。但根据我们采样的数据,记录可能多达2200万条。” 黑客以0.27比特币(约合2,000美元)的价格出售这些数据。 图片来源:ZDNet   上周六,Mixcloud发布安全公告披露了该事件,该公司同时强调,系统没有存储完整的信用卡号或邮寄地址之类的数据。 “今天晚上我们收到了可信的报告,证实了黑客访问了我们的部分系统。” “此次事件事件涉及电子邮件地址,IP地址和少数用户的密码(安全加密状态)。大多数Mixcloud用户使用Facebook账号进行了注册,我们没有存储这些用户的密码。” Mixcloud 目前正在积极调查此事件,并且建议用户将密码重置。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Magento Marketplace 数据遭到泄露,用户信息被出售

如果你曾经在Magento官方市场上注册过一个帐户来购买或出售任何扩展程序,插件或电子商务网站主题,那么你现在要立刻修改你的密码了。 拥有Magento电子商务平台的公司Adobe今天公布了一项新的数据泄露事件,Magento Marketplace 用户的帐户信息被暴露给了黑客。 据该公司称,黑客利用了其网站上一个未公开的漏洞,并用未经授权的第三方身份访问数据库并获取了注册用户的信息,包括客户(买方)和开发人员(卖方)。 数据库中的信息包括受影响的用户的姓名,电子邮件地址,MageID,账单和送货地址信息以及一些商业信息。 尽管Adobe没有透露或者可能他们也不知道Magento市场何时遭到的攻击,但该公司已经确认其安全团队于11月21日发现了这一漏洞。 除此之外,Adobe还保证,黑客无法破坏Magento的核心产品和服务,也就是说黑客无法通过访问Marketplace上托管的主题和插件来添加任何后门或恶意代码,用户可以安全下载。 “ 11月21日,我们发现了Magento Marketplace的漏洞。我们当时暂时关闭了Magento Marketplace以解决此问题。目前Marketplace已经重新上线。此次事件并未影响任何Magento核心产品或服务的运行” ,Adobe商务产品和平台副总裁Jason Woosley 发表声明说。 Adobe没有透露受影响的用户和开发人员的数量,但它已经开始通过电子邮件通知受影响的客户。 尽管Adobe并未明确提及帐户密码也已泄露,但他们仍然建议用户更改该密码,如果用户在其他网站使用了相同的密码,最好也对这些密码进行更改。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

开源编辑器 Atom 未经同意收集用户数据

Atom 是 GitHub 专门为程序员推出的一个跨平台文本编辑器。昨日,有用户给 Atom 提 issue 称其未经同意收集用户数据。 “首次启动 Atom 时,它会在未经同意的情况下联系在 Amazon 服务器上运行的 Microsoft/GitHub 进程,并将我的 IP 地址和时间戳泄露给制造商,把我使用 Atom 的事实(通过出站请求)传输给成千上万的其他人和组织。” 这位名为 Jeffrey Paul 的用户表示是在首次启动 Atom 时遇到了该问题。他发现在自己的信息已经被收集并发送出去之后,主应用程序窗口才打开是否连接服务器的询问对话框。而这一问题 100% 能够复现,也就是说并非偶然事故。 Paul 指出,用户的 IP 地址以及跟踪/遥测/分析/自动更新目标主机 IP 等信息都在首次启动时被传输出去,前两个数据中还包括时间戳。 “该元组(用户源 IP,atom.io 目标 ip,TCP 端口,TLS SNI 主机名,时间戳记)从用户计算机发送时,其使用情况信息就会泄漏给成千上万的不同人:ISP,托管提供商,网络交换,情报服务者,Microsoft 内部系统管理员,GitHub 系统管理员和 Amazon 网络管理员。用户根本没有机会选择退出,或是阻止它,甚至没有意识到它的发生。” 为此,Paul 感到气愤,并依照“间谍软件”的定义——间谍软件是一种软件,有时甚至在其不知情的情况下收集有关个人或组织的信息,并在未经用户同意的情况下将此类信息发送给另一个实体——将 Atom 归为间谍软件。 他还提到,这种情况的出现意味着 PR #12281 上的工作尚未完成。这是 2016 年 Atom 团队提出的“添加遥测同意设置”,该设置用于确定是否收集用户的使用信息。而目前,根据 Paul 的描述,甚至没有出现同意对话框,数据就已经被上传了。 Atom 团队的 Arcanemagus 随后在下方回复,表示“Atom 设计为在连接网络的环境中运行,可以执行诸如检查更新之类的操作而不会提示用户……您当然可以自由地阻止网络访问,并且如果您愿意,Atom 也可以在脱机模式下运行。” 但显然,这一说法不够有说服力,Paul 提出反击:“没有人说它不应该使用网络,它只是在用户授予其权限之前不应该使用网络,否则会造成数据泄漏,这就是同意对话框存在的意义。” Arcanemagus 仍然认为阻止网络访问即可,还说,“这不是 Atom 团队当前有兴趣更改的东西”。 来自 Atom 团队的 Lee Dohm 发表了最终回应,承认遥测程序包不应该在单击按钮之前发送信息,并将调查它与 central.github.com 的过早连接。但另一方面,他坚持 Atom 的设计模式如此,剩下的部分,特别是自动更新检查,仍保留当前的设计方式。以及,再次表明,“如果您想要一个可以完全脱机工作且没有任何网络连接的编辑器,则 Atom 不适合您。” 此外,经过复现实验,Paul 还提出了另一个 issue,他发现即便明确拒绝同意并退出遥测,遥测信息还是会被发送。这一情况的复现率也为 100%。 在 2016 年那条添加遥测同意设置的 PR 下,又有网友展开了新的讨论。其中一名用户说道,“按目前的情况,这可能违反了 GDPR(General Data Protection Regulation,一般数据保护条例)。”   (稿源:oschina ,封面源自网络)

恶意 SDK 收集 Facebook 和 Twitter 用户个人数据

据Facebook和Twitter透露,一些第三方应用未经用户同意便获取了用户的个人信息。 这些第三方iOS和Android应用程序使用了恶意SDK。SDK被用来展示广告,不过专家们注意到,一旦使用这些应用程序将社交网络的用户登录到任一服务中,SDK就会静默访问其个人资料并收集信息,包括用户名,电子邮件地址和推文。 这些恶意SDK是由营销公司OneAudience开发的。推特已经将这个消息告知其用户。 “我们最近收到了一份有关由恶意SDK的报告。 这个问题不是由于Twitter软件中的漏洞所致,而是由于应用程序内的SDK之间缺乏隔离性。我们的安全团队已经确定,可以嵌入到移动应用程序中的恶意SDK可能会利用移动生态系统中的漏洞访问并获取个人信息(电子邮件,用户名,最新一条推文)。 ” 即使专家没有发现证据表明恶意SDK会被用来控制Twitter帐户,他们仍然没有排除黑客可能使用SDK进行攻击的可能性。 Twitter知道恶意SDK已经通过Android设备访问某些Twitter帐户的个人数据,但iOS设备还没有出现过类似的事件。 Twitter向Google和Apple以及其他同行报告了此事件,并呼吁采取相对应的措施来阻止包含其代码的恶意SDK和应用。 Facebook发现了两个具有类似目的SDK,它们分别是One Audience和Mobiburn。 据称,恶意SDK收集了个人资料信息,包括姓名,性别和电子邮件地址。 Facebook发言人告诉 The Register: “安全研究人员最近向我们通报了One Audience和Mobiburn,他们收买开发人员,以在应用中使用恶意SDK。” “经过调查后,我们根据违反平台政策的原因将其应用程序从平台上删除,并向One Audience和Mobiburn发出了终止信函。如果用户的操作可能使他们的身份信息遭到泄露,我们将提示他们保护好自己的姓名,邮箱和性别等信息。我们希望用户在允许第三方应用程序访问其社交媒体帐户时保持谨慎。” oneAudience没有对此事件发表评论,但与此同时MobiBurn发表声明,否认其正在收集Facebook数据,并宣布对使用其SDK的第三方应用程序展开调查。 “MobiBurn没有收集,共享或分享来自Facebook的数据获利。 MobiBurn主要通过捆绑销售来充当数据业务的中介,例如捆绑第三方开发的SDK。 MobiBurn 无权访问移动应用程序开发人员收集的任何数据,也不处理或存储此类数据。 我们仅向移动应用程序开发人员介绍数据运营公司。不过MobiBurn目前已经停止了所有活动,直到我们结束对第三方的调查。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美国加州车管部门通过出售私人数据每年赚取 5000 万美元

我们曾经听说过大型科技公司通过出售私人数据赚钱,但美国全国各地的汽车管理部门也在通过这种做法赚钱,其中包括加利福尼亚的汽车管理部门,该部门每年通过出售驾驶员个人信息获得5000万美元的收入。 公共记录法案已经记录了有多少公司向加利福尼亚汽车管理部门支付数据费用。在2017/2018财政年度,这一数字为52,048,236美元,而2013/2014财年为41,562,735美元。这些数据信息包括驾驶者姓名,实际地址和汽车注册信息。 虽然该文件没有具体说明哪些公司要求提供这些信息,但其中包括数据经纪商和信贷机构。一些汽车管理部门还向私人调查员出售了信息,在某些情况下,他们被雇用来寻找配偶是否出轨。 加州汽车管理部门表示,数据请求者还可能包括保险公司,车辆制造商和准雇主,而赚取的金钱用于公共和高速公路安全,包括提供保险,风险评估,车辆安全召回,交通研究,排放研究,背景调查等等。   (稿源:cnBeta,封面源自网络。)