HackerNews 编译，转载请注明出处：

漏洞赏金平台HackerOne正在通知数百名员工，其个人数据在第三方美国福利管理商Navia遭黑客入侵后被窃取。

HackerOne管理着超过1950个漏洞赏金项目，为通用汽车、高盛、Anthropic、GitHub、Uber等知名企业，以及美国国防部等政府机构提供漏洞披露、渗透测试和代码安全服务。

Navia是美国领先的消费者导向福利管理商，服务超过1万家雇主。

在向缅因州总检察长办公室提交的申报文件中，HackerOne披露此次数据泄露影响了287名员工。

"据我们目前掌握的信息，由于存在对象级授权失效（BOLA）漏洞，未知行为体于2025年12月22日至2026年1月15日期间访问了Navia数据，"该公司表示。"2026年1月23日，Navia发现其环境中存在可疑活动。Navia于2月20日向受影响公司发送了通知函。"

泄露信息包括：社会安全号码、姓名、地址、电话、出生日期、邮箱地址、参保日期、生效日期及终止日期——涵盖每位受影响员工及其家属。

HackerOne建议受影响员工警惕可疑信息，监控财务账户异常活动，并使用Navia提供的12个月免费身份保护和信用监控服务。"如果密码或密码提示/安全问题涉及上述个人数据，建议一并更改，"公司补充道。

Navia本月早些时候披露事件时强调，数据泄露未影响受影响个人的理赔或财务信息。

然而，泄露的数据足以让威胁行为体对事件受害者发起钓鱼和社交工程攻击。

尽管Navia将此事件标记为数据窃取攻击，但目前尚无网络犯罪团伙或勒索软件组织宣称对此次入侵负责。

...

HackerNews 编译，转载请注明出处：

波兰政府官员周二表示，2025年该国遭受的网络攻击数量是前一年的2.5倍，且仍在持续上升。

这些攻击包括去年12月对波兰能源系统的破坏性渗透，据信这在北约和欧盟成员国中尚属首次，疑似源自俄罗斯。

波兰数字事务部副部长帕维尔·奥尔谢夫斯基周二透露，过去一年波兰共遭遇27万次网络攻击。

"多年来我们一直在网络空间作战，"该官员表示，"事件和攻击数量每年都在显著且急剧增加。"

自2022年2月24日俄罗斯全面入侵乌克兰以来，图斯克总理领导的政府已加强网络防御，以应对来自俄罗斯的日益增长的威胁。

...

HackerNews 编译，转载请注明出处：

荷兰财政部披露，3月19日检测到一起网络攻击，部分员工受到影响，目前调查仍在进行中。

该部门在第三方发出警报后发现攻击，入侵者突破了一些内部系统，"部分员工"的工作受到影响。

当局仍在调查事件详情及全部影响范围。

荷兰财政部在声明中表示："3月19日周四，财政部ICT安全部门检测到政策部门若干核心流程的系统遭到未授权访问。接到警报后，我们立即启动调查，并于今日封锁了这些系统的访问权限。这影响了部分员工的正常工作。"

该部强调，面向公民和企业的服务未受影响："税务海关总署、海关及福利部门提供的服务均未受到影响。"

荷兰财政部未披露攻击的技术细节，目前尚无网络犯罪团伙宣称对此次攻击负责。

2024年10月，荷兰警方曾将一起泄露警员联系方式的数据泄露事件归咎于国家支持的行为体。该事件发生于2024年9月26日，警方已向数据保护局报告。攻击者入侵警方系统，获取了多名警员的工作联系方式，包括姓名、邮箱、电话及部分私人信息。荷兰情报机构认为，国家行为体幕后操控的可能性极高。

...

HackerNews 编译，转载请注明出处：

Citrix发布安全更新修复两项NetScaler漏洞，其中包括一个可导致敏感信息泄露的关键内存越界读取漏洞CVE-2026-3055（CVSS评分9.3），允许未经认证攻击者窃取数据。

该漏洞源于输入验证不足导致的内存越界读取，仅在Citrix ADC或Citrix Gateway配置为SAML身份提供商（IDP）时触发。

用户可通过查找以下配置字符串确认设备是否设为SAML IDP： add authentication samlIdPProfile .*

Rapid7研究人员在公告中指出："CVE-2026-3055被归类为越界读取漏洞，CVSS评分9.3，允许远程未认证攻击者从设备内存泄露潜在敏感信息。Citrix公告明确，配置为SAML IDP的系统存在风险，默认配置不受影响。而SAML IDP配置在采用单点登录的组织中极为常见。"

目前CVE-2026-3055尚无野外利用案例或公开PoC。该漏洞由Citrix内部发现，但一旦利用代码公开，攻击可能激增。客户应立即修补——类似内存泄露漏洞"CitrixBleed"（CVE-2023-4966）曾在2023年遭大规模利用。

Citrix修复的另一项漏洞为CVE-2026-4368（CVSS评分7.7），是一个导致会话混淆的竞争条件漏洞。

...

HackerNews 编译，转载请注明出处：

"Contagious Interview"行动背后的朝鲜黑客组织（又称WaterPlum）被曝利用恶意Visual Studio Code项目传播新型恶意软件家族StoatWaffle。

自2025年12月起，该组织开始采用VS Code "tasks.json"配置分发恶意软件这一新战术。攻击利用"runOn: folderOpen"选项，每当项目文件夹在VS Code中打开时即自动触发执行。

NTT Security在上周发布的报告中指出："该任务配置会从Vercel上的Web应用下载数据，与操作系统无关。本文虽以Windows环境为例，但核心行为在各系统上基本一致。"

下载的载荷首先检查执行环境是否安装Node.js，若未安装则从官网下载并安装。随后启动下载器，定期轮询外部服务器获取下一阶段下载器，该下载器行为相同——访问同一服务器的另一端点，将接收到的响应作为Node.js代码执行。

StoatWaffle两大功能模块：

...

HackerNews 编译，转载请注明出处：

美国联邦调查局（FBI）向网络防御人员发出警告，与伊朗情报与安全部（MOIS）有关联的黑客正利用Telegram进行恶意软件攻击。

FBI在周五发布的紧急警报中指出，Telegram被用作恶意软件的命令控制（C2）基础设施，攻击目标包括批评伊朗政府的记者、伊朗异见人士及全球各类反对派组织。

"鉴于中东地区当前的地缘政治形势和冲突态势，FBI特此强调MOIS的网络活动，"该局表示。

"该恶意软件导致情报收集、数据泄露及针对目标方的声誉损害。FBI发布此信息旨在最大限度提高对伊朗恶意网络活动的认知，并提供缓解策略以降低被入侵风险。"

该局将这些攻击与伊朗关联的亲巴勒斯坦Handala黑客组织（又称Handala Hack Team、Hatef、Hamsa），以及伊朗伊斯兰革命卫队（IRGC）支持的国家资助威胁组织Homeland Justice联系起来。

在这些攻击中，伊朗黑客利用社交工程感染目标设备，植入Windows恶意软件，使其能够从受感染计算机外泄截图或文件。

"不法分子会利用任何可用渠道控制恶意软件，包括其他通讯工具、电子邮件甚至直接网络连接，"Telegram发言人在文章发表后告诉BleepingComputer。"虽然使用Telegram控制软件并无特殊之处，但平台审核人员会例行删除任何涉及恶意软件的账户。"

该警告发布前一天，FBI刚刚查封了四个域名：handala-redwanted[.]to、handala-hack[.]to、justicehomeland[.]org和karmabelow80[.]org。

这些明网域名对应的网站被Handala、Homeland Justice威胁组织，以及被追踪为Karma Below的第三个威胁行为体用于攻击活动，并泄露在美国及全球网络攻击中窃取的敏感文件和数据。

这些行动紧随Handala对美国医疗巨头Stryker的网络攻击之后——该组织在入侵Windows域管理员账户并新建全局管理员账户后，利用Microsoft Intune擦除命令对约8万台设备（包括公司管理的员工个人电脑和移动设备）执行了出厂重置。

上周，FBI还警告称，与俄罗斯情报部门关联的威胁行为体正针对Signal和WhatsApp用户发起钓鱼活动，已入侵数千个账户。

"该活动瞄准高情报价值人员，如现任及前任美国政府官员、军事人员、政治人物和记者，"FBI在荷兰和法国网络安全机构描述类似账户劫持行动后发布的公共服务公告中表示。

...

HackerNews 编译，转载请注明出处：

微软近日发出警告，新型网络攻击正利用美国即将到来的报税季，大肆窃取用户凭证并传播恶意软件。

攻击者抓住报税邮件的紧迫性和时效性特点，发送伪装成退税通知、工资单、报税提醒及税务专业人士请求的钓鱼邮件，诱骗收件人打开恶意附件、扫描二维码或点击可疑链接。

微软威胁情报团队与Defender安全研究团队在上周发布的报告中指出："多数攻击针对个人用户窃取财务信息，但部分攻击专门瞄准会计师等专业人士——这类人群掌握敏感文件、拥有财务数据访问权限，且习惯在报税季接收税务相关邮件。"

部分攻击将用户导向通过"钓鱼即服务"（PhaaS）平台搭建的虚假页面，另一些则直接部署合法的远程监控管理工具（RMM），如ConnectWise ScreenConnect、Datto和SimpleHelp，使攻击者得以长期控制受害设备。

主要攻击手法包括：

...

HackerNews 编译，转载请注明出处：

日本汽车制造商马自达株式会社（Mazda）近日披露，去年12月发现的一起安全事件导致员工及合作伙伴信息外泄。

作为日本最大汽车制造商之一，马自达年产车辆120万台，年收入近240亿美元。

公司表示，攻击者利用了泰国零部件采购仓库管理系统的漏洞。该系统不包含任何客户数据，泄露记录仅限692条。

马自达在公告中称："公司已发现针对泰国零部件采购仓库管理系统的未授权外部访问痕迹。发现后，公司立即向个人信息保护委员会（日本内阁府外局）报告，并在外部专业机构协助下实施适当安全措施并展开调查。"

调查显示，可能泄露的信息包括：用户ID、姓名、电子邮箱、公司名称及合作伙伴ID。

尽管马自达表示尚未发现信息被滥用的情况，但建议受影响人员保持警惕，因为针对他们的钓鱼攻击和诈骗风险显著增加。

除通知当局外，马自达还实施了额外的IT系统安全措施，包括减少互联网暴露面、应用安全补丁、加强可疑活动监控及引入更严格的访问策略。

截至发稿，尚无勒索软件组织公开宣称对这家日本公司发动攻击。

BleepingComputer已联系马自达了解事件详情，将在收到官方回复后更新本文。

值得注意的是，虽然马自达从未正式确认数据泄露，但Clop勒索软件组织已于2025年11月在其数据泄露网站上列出Mazda.com和MazdaUSA.com，声称入侵了这家日本汽车制造商及其美国子公司。

...

HackerNews 编译，转载请注明出处：

知名动漫流媒体平台Crunchyroll正在调查一起数据泄露事件，此前黑客声称窃取了约680万人的个人信息。

Crunchyroll最初向BleepingComputer表示："我们已注意到相关声明，正与顶尖网络安全专家密切合作调查此事。"

在后续声明中，Crunchyroll补充道："调查正在进行中，我们继续与网络安全专家合作。目前我们认为，泄露信息主要限于客户服务工单数据，源于第三方供应商的一起事件。我们尚未发现与这些声明相关的系统持续访问证据，正密切监控事态发展。"

此前，一名威胁行为体于上周四联系BleepingComputer，声称于美国东部时间3月12日晚9点入侵Crunchyroll，通过获取Crunchyroll支持人员的Okta SSO账户权限实施攻击。

该支持人员据称是Telus International业务流程外包（BPO）公司员工，有权访问Crunchyroll支持工单。威胁行为体声称使用恶意软件感染该员工电脑并窃取其凭证。

据与BleepingComputer分享的截图显示，这些凭证可访问Crunchyroll多项应用，包括Zendesk、Wizer、MaestroQA、Mixpanel、Google Workspace Mail、Jira Service Management和Slack。

攻击者称利用此权限从Crunchyroll的Zendesk实例下载了800万条支持工单记录，其中包含680万个唯一电子邮箱地址。

BleepingComputer查看并随后删除的工单样本显示，信息种类繁多，包括Crunchyroll用户姓名、登录名、邮箱地址、IP地址、大致地理位置及工单内容。

尽管其他报道声称信用卡信息遭泄露，但BleepingComputer确认，信用卡详情仅在客户主动在工单中提供时才会暴露。大多数情况下仅包含基本信息，如末四位数字或有效期，极少数包含完整卡号——据威胁行为体称。

BleepingComputer查看的工单均提及Telus，印证了威胁行为体关于入侵BPO员工的说法。

攻击者称其访问权限在24小时后被撤销，使其仅能窃取截至2025年中期的数据。

黑客声称已向Crunchyroll发送勒索邮件，索要500万美元以换取不公开泄露数据，但未收到公司回应。

虽然此次攻击针对Telus员工，但BleepingComputer获悉，这与ShinyHunters勒索团伙对Telus Digital的大规模泄露事件无关。

BPO成高价值目标

过去几年，业务流程外包公司已成为威胁行为体的高价值目标，因其通常为多家公司处理客户支持、账单和内部认证系统。

因此，威胁行为体可通过入侵单一BPO员工获取跨多家公司的大量客户和企业数据。

过去一年，威胁行为体通过贿赂具有合法访问权限的内部人员、对支持人员实施社交工程以获取未授权访问，以及入侵BPO员工账户进入内部系统等方式攻击BPO。

其中最突出的案例之一是，攻击者冒充员工说服Cognizant帮助台支持代理授予其Clorox员工账户访问权限，从而入侵该公司网络。

多家大型零售商也确认，针对支持人员的社交工程攻击导致了勒索软件和数据窃取攻击。

玛莎百货（Marks & Spencer）确认攻击者利用社交工程入侵其网络，而Co-op则在披露数据遭窃后承认，勒索软件攻击同样滥用了支持人员的访问权限。

针对玛莎百货和Co-op零售公司的攻击，英国政府发布了关于帮助台和BPO社交工程攻击的指导建议。

某些情况下，黑客直接以BPO员工账户为目标，获取其管理的客户数据。

去年10月，Discord披露一起数据泄露事件，据称在其Zendesk支持系统实例遭入侵后，550万独立用户数据暴露。

...

HackerNews 编译，转载请注明出处：

半导体服务企业Trio-Tech International披露，其位于新加坡的子公司遭到勒索软件攻击。

该公司在向美国证券交易委员会（SEC）提交的文件中表示，事件发生于3月11日，导致其网络内部分文件被加密。

Trio-Tech称，该子公司立即启动应急响应程序，主动将系统下线以控制事态蔓延。此外，子公司还在第三方网络安全专家协助下展开调查，并通知了执法部门。

"该子公司正采取措施控制事件、恢复受影响系统，并加强整个网络环境的监控。同时正在按适用法律要求通知受影响方，"公司在文件中写道。

Trio-Tech最初认为该事件不会造成重大影响，但攻击者随后公布了从其网络窃取的部分数据，"管理层因此认定该事件可能构成重大网络安全事件"。

公司表示调查仍在进行中，尚未确定可能受影响数据的全部范围。"该子公司还在与其网络保险提供商密切合作，以支持调查、修复及潜在的理赔流程，"Trio-Tech补充道。

公司未透露攻击者身份细节，但Gunra勒索软件团伙已在其Tor泄露网站上将Trio-Tech列入受害者名单。

SecurityWeek已向Trio-Tech发送邮件，寻求关于攻击者声明的更多信息，如获回复将更新本文。

总部位于加州的Trio-Tech International提供半导体后端解决方案（SBS），包括制造、测试和分销服务，以及工业电子设备。该公司在美国、中国、马来西亚、新加坡和泰国均设有办事处。

...