威胁行为者声称利用被入侵的凭证，从多家财富 500 强公司的 Microsoft Azure 基础设施中窃取了大量员工数据库并正在出售。自 7 月 31 日起，使用化名 "TheHatman" 的人在多个帖子中发布了来自大型组织的数据转储广告，包括 McDonald's、Gap Inc. 对于每个宣传的数据库，TheHatman 还提供了样本数据库供潜在买家验证数据。 网络犯罪情报公司 Hudson Rock 分析了这些泄露数据，并确认其中包含"基础的企业目录属性"以及清晰的数据结构，字段包括"活跃域名和特定租户的 .onmicrosoft.com 结构"。...

Pokémon Center 正在通知英国和德国的客户，称其遭遇了第三方数据泄露事件——黑客从第三方物流提供商 CEVA Logistics 窃取了客户的个人信息和订单信息。虽然在此次网络攻击中受到入侵的是 CEVA 的系统， 消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

一名卖家声称从 Azure 窃取了 170 万条麦当劳员工记录。一份 8,000 行的样本看起来是真实的，但其数据年龄和完整规模仍未得到确认。本周，一名卖家在数据交易论坛上发布了一份 8,000 行的样本，声称这些数据来自麦当劳自己的 Azure 租户， 消息来源：securityaffairs.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

SANDCLOCK LiteLLM 供应链攻击暴露了 2,038 个仓库中的凭证，影响了科技、金融、医疗、零售等行业。Resecurity（美国）评估了受"代码仓库入侵导致的 SANDCLOCK 后门"影响最严重的行业。据网络安全专家称，LiteLLM / TeamPCP 供应链攻击将产生长期后果。 Resecurity 按密钥名称枚举了 2,146 条记录（除结构掩蔽外从未检查过值）。其中绝大多数是 GitHub CI-CD 身份材料，并带有大量高价值的云和注册表凭证的长尾。受害者清单（owners.txt、repos.txt）列举了 2,...

SafePal 表示，一次泄露暴露了 39,798 名客户的个人数据，但未涉及钱包凭证、私钥、助记词或支付信息。在黑客利用其订单跟踪插件中的一个漏洞后，SafePal 披露了一起影响约 39,798 名客户的数据泄露事件。 消息来源：securityaffairs.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

瑞士联邦 IT 机构 FOITT 表示，攻击者利用 SharePoint 漏洞入侵了约200个账户。随着调查的进行，服务器正在重建中。瑞士联邦信息技术与通信办公室（简称 BIT 或 FOITT）披露，未知攻击者已入侵其本地 SharePoint 服务器上约200个账户。FOITT 表示， 消息来源：securityaffairs.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

数据中心安全公司 Lava 报告称，由于基板管理控制器（BMC）管理处理器中存在一个已有22年历史的漏洞，数千个数据中心正面临被入侵的风险。BMC 存在于大多数服务器平台中，即使在没有可用操作系统的情况下也能实现服务器管理操作，并且通常是数据中心中权限最高的控制点之一。通过 BMC， 消息来源：securityweek.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

OpenAI 和 Anthropic 已确认，其 AI 模型涉及两起新披露的、由第三方进行的网络安全测试事件，导致一个真实网站被入侵，以及针对预期测试范围之外的真实人员的社会工程攻击。这些事件与此前披露的 Hugging Face 入侵事件无关——在那次事件中， 消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...

TP-Link 已修复其 Omada 网络设备零接触配置（ZTP）机制中的15个漏洞，这些漏洞可与此前披露的漏洞组合利用，实现远程代码执行（RCE）。这些漏洞由 Forescout 的 Vedere Labs 研究人员发现，他们于今天早些时候在 Black Hat USA 安全大会上公布了全部细节。 其余四个发现未获得跟踪编号。它们涉及：仅凭知晓序列号即可完成设备纳管、初始纳管期间使用默认凭证、可预测的序列号，以及通过未经验证的临时下载链接提供的文件。在 Forescout 描述的一种攻击场景中，远程攻击者可以枚举可预测的设备序列号以获取 MAC 地址，并识别等待纳管的设备。...

名为 Greatness 的商业化钓鱼即服务（PhaaS）工具包，已成为最新一款支持设备代码钓鱼的网络犯罪解决方案。这种快速增长的网络威胁滥用合法的 OAuth 2.0 Device Authorization Grant 流程，以绕过多因素认证（MFA）并夺取用户账户的控制权。 消息来源：thehackernews.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文...