HackerNews 编译，转载请注明出处： 网络安全研究团队Cybernews发现，两个未受保护的Azure Blob存储容器发生数据泄露，内含超160万份文件，主要涉及Etsy、Poshmark及TikTok店铺客户信息。泄露数据以美国用户为主，部分波及加拿大与澳大利亚客户。 尽管在线购物已具备较高安全性，数字阴影中仍潜藏风险。研究团队近期发现的两个暴露实例中，存储的HTML格式物流确认邮件包含以下敏感信息：用户全名、家庭住址、电子邮箱、物流订单详情。 研究人员强调：“考虑到Etsy作为全球数百万小微企业的交易平台地位，物流确认邮件数据泄露对其客户隐私与安全构成重大威胁。” 大部分泄露文件来自手工艺品电商平台Etsy，部分数据关联TikTok店铺、二手交易平台Poshmark及刺绣设计平台Embroly。 攻击者可利用泄露信息实施多重恶意活动： 精准钓鱼攻击：冒用Etsy或合作物流商身份，借助真实订单细节提升钓鱼邮件可信度，诱导用户点击恶意链接或泄露财务信息。 社交工程攻击：结合地址与订单信息实施深度伪装，骗取额外敏感数据。 恶意软件传播：制作包含具体商品描述的带毒邮件附件，利用用户信任实施感染。 虽然无法确认暴露实例的具体所有者，但处理记录分析显示：受影响订单主要涉及定制刺绣设计服务，设计师名称与订单明细指向越南地区刺绣服务提供商，证据表明可能为单一实体在多个电商平台开设店铺所致，但存储实例缺乏明确身份标识。 为防止类似事件，研究团队提出六项防护措施： 在云存储环境中实施更严格的安全控制，防止未授权访问 回溯审查访问日志，确认存储桶是否遭非法访问 启用服务器端加密确保静态数据保密性 使用Azure密钥保管库安全管理加密密钥 强制SSL/TLS协议保障数据传输安全 建立定期审计机制，开展员工数据安全培训 研究团队特别警示：“掌握用户全名与地址信息后，攻击者可伪装成可信物流服务商，通过伪造通知迫使受害者执行确认个人信息、支付款项或点击恶意链接等危险操作。此外，精确的订单信息可能被用于投放定制化恶意载荷，极大提升攻击成功率。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加密通讯应用Signal于上周五推出全新“屏幕安全”功能，默认阻止Windows 11系统对聊天窗口进行任何形式的截图操作，此举被视为对微软Windows Recall屏幕记录技术的直接反击。该功能启用后，无论是用户手动截屏还是系统自动抓取，Signal聊天界面将仅显示空白画面，关闭此防护需深入设置界面并手动忽略醒目警告。 Signal首席开发工程师约书亚·伦德在声明中指出：“尽管微软迫于舆论压力对Recall进行安全强化，但该功能仍使Signal等隐私优先应用的屏幕内容暴露于风险中。我们别无选择，只能采取主动防御。”微软此前推迟Recall功能的发布，新增存在性证明加密、防篡改机制，并将截图数据存储于操作系统外的安全飞地，但Signal认为这些改进仍存重大设计缺陷。 争议核心在于Recall作为Windows AI核心功能，每五秒自动截取屏幕内容构建可搜索记忆库。伦德批评微软未向开发者提供应用级防护接口是“明显疏漏”，迫使Signal采取非常规手段：“隐私应用理应获得与浏览器无痕模式同等的系统级保护，但微软仅默认豁免了后者。”目前微软尚未对此置评。 此次对抗凸显AI时代操作系统与应用程序的权限博弈。Signal警告称，具备“广泛权限、脆弱安全机制与数据饥渴症”的AI代理正在打破应用与操作系统间的“血脑屏障”，威胁所有隐私保护类应用的生存基础。技术观察人士指出，这场攻防战或将重塑操作系统生态的权力边界，推动行业建立更精细的隐私权限管理体系。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，助眠类iOS应用《Sleep Journey: Insomnia Helper》因配置错误导致数万用户隐私泄露，涉及姓名、饮酒习惯等敏感数据。该应用由塞浦路斯注册公司Fitsia Holdings Limited运营，因开发人员错误配置Firebase数据库服务器，超过25,000条用户记录可被公开访问。由于Firebase作为临时数据库的特性，实际泄露规模可能远超当前可见数据量。 泄露信息包含多维敏感内容： 身份信息：用户真实姓名、电子邮箱、出生日期、性别 健康数据：睡眠监测记录、尼古丁与酒精摄入量、睡前活动模式、药物使用情况 行为轨迹：应用使用过程中生成的交互日志 研究团队指出，攻击者可利用泄露数据实施精准钓鱼攻击、凭证填充攻击或社会工程操纵。更严重的是，应用客户端代码中暴露了API密钥、Google应用ID、存储空间凭证等核心密钥，理论上允许攻击者绕过认证系统直接访问用户设备数据，甚至操控第三方服务实施资源滥用。 此次事件是iOS应用安全问题的又一典型案例。Cybernews团队近期扫描App Store 15.6万款应用发现，71%的应用存在至少一项密钥泄露问题，平均每款应用暴露5.2个敏感凭证。此前已有多款涉及小众社交通讯的应用被曝泄露用户私密照片。 安全专家建议采取分层修复措施： 对Firebase数据库启用基于角色的访问控制，限制未授权访问。 将硬编码密钥迁移至服务器端，通过代理网关管理服务调用。 在开发流程中集成静态代码分析工具，自动检测密钥暴露风险。 该漏洞于2025年1月7日被发现，研究团队于1月15日通报涉事企业，并于2月11日提交计算机应急响应组。截至目前，Fitsia Holdings Limited尚未就事件作出公开回应。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全专家担忧人工智能（AI）代理将很快实施大规模复杂且难以检测的网络攻击。2022年ChatGPT的发布已通过自动化钓鱼、深度伪造和恶意软件开发改变了网络犯罪格局。网络安全公司Malwarebytes最新《ThreatDown报告》警告称，自主AI攻击者的崛起迫在眉睫，网络犯罪即将迎来根本性变革。 “网络犯罪正在经历转型。”Malwarebytes创始人兼CEO马尔钦·克列钦斯基表示，“我们不仅看到攻击数量的上升，还看到了几年前根本无法想象的全新欺骗形式和自动化手段。”报告指出，AI使网络犯罪分子能轻松研究漏洞、编写钓鱼邮件、生成代码，并通过声音克隆和形象伪造开发新型社会工程攻击。 典型案例与数据 2024年1月：某全球工程公司财务人员被完全由AI生成的深度伪造高管视频会议欺骗，向犯罪分子转账2500万美元 2023年：ChatGPT发布后，SlashNext研究人员观察到恶意钓鱼信息量激增1265% 2024年：The Transparency Company统计至少230万条产品评论由AI部分或全部生成 预计至2027年：Deloitte金融服务中心预测AI邮件欺诈损失将达115亿美元 虚假信息渗透：2024年“Pravda”虚假信息网络发布360万篇文章，成功将克里姆林宫宣传内容植入主流生成式AI工具 美国财政部FinCEN警示：金融机构遭遇AI生成虚假身份证明文件攻击激增 报告警告称，随着网络犯罪分子更熟练运用AI代理，最严峻的威胁尚未到来。“AI代理必然被用于扩展需要大量人力的攻击规模与速度——包括最具破坏性的‘大型猎物’勒索软件攻击。”自主AI将使黑客部署“恶意代理集群实现攻击规模指数级扩张”，并保持全天候运作。研究人员已成功演示AI代理如何用于攻击性网络安全：2023年开发的完全自主网络安全代理ReaperAI可在最少人工监督下执行攻击行动；另一款模拟勒索软件组织的AutoAttacker证明偶发攻击可转化为高速常规操作。谷歌的Big Sleep则成为首个自主发现真实世界零日漏洞的AI系统。 Malwarebytes研究人员认为，应对AI网络犯罪需采取三大措施：缩减攻击面、持续监控系统、即时响应警报。报告特别强调：“防御者必须建立超越AI攻击速度的实时威胁检测与响应机制，将自动化防御深度整合至安全运营中心（SOC）工作流。”       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 奥地利隐私非营利组织noyb（none of your business，意为“不关你的事”）已向Meta爱尔兰总部发出停止侵权函，警告若该公司坚持在未获得用户明确选择加入（opt-in）授权的情况下，继续使用用户数据训练其人工智能模型，将面临集体诉讼。 此举发生在该社交媒体巨头宣布新计划数周后。Meta曾于2024年6月在爱尔兰数据监管机构关切下暂停相关计划，现宣布将于2025年5月27日起重新启动，计划使用欧盟成年用户在Facebook和Instagram平台公开分享的数据训练其AI模型。 “Meta未寻求用户主动授权，而是妄称拥有‘合法利益’来攫取所有用户数据。”noyb在声明中指出，“由于采用‘选择退出’而非‘选择加入’机制进行AI训练，Meta可能面临重大法律风险。” 该维权组织强调，Meta的AI训练计划违反欧盟《通用数据保护条例》（GDPR）。除不当主张“合法利益”外，Meta还刻意限制用户在训练开始前行使拒绝权。 noyb特别指出，即便仅有10%的Meta用户明确同意数据使用，其数据量也足以覆盖欧盟各语言的学习需求。值得关注的是，Meta此前声称收集这些数据是为准确反映欧洲地区多元化的语言、地理和文化特征。 “Meta大费周章只为推行选择退出机制而非选择加入。”noyb创始人马克斯·施雷姆斯表示，“他们试图通过虚构的‘合法利益’来合理化数据掠夺行为，这既不合法也非必要。其他AI供应商无需社交网络数据就能开发出更优秀的模型，Meta所谓‘盗取数据是AI训练必需’的论调荒谬可笑。” 该隐私组织同时批评Meta将合规责任转嫁给用户，并指出欧盟各国数据监管机构对“未经同意的AI训练”合法性普遍保持沉默。“Meta显然在监管缺位下强行推进计划，这无异于在欧盟境内再次进行高风险法律赌博，严重践踏用户权利。”声明补充道。 针对路透社的质询，Meta否认所有指控，称noyb的指控在事实和法律层面均属错误，强调已为欧盟用户提供“清晰”的反对数据用于AI训练的选项。 这并非Meta首次因依赖GDPR“合法利益”条款规避用户明示授权而遭质疑。2023年8月，该公司曾迫于压力，同意将欧洲用户定向广告的数据处理法律依据从“合法利益”改为“用户授权”。 此次争议爆发之际，比利时上诉法院最新裁定由谷歌、微软、亚马逊等科技巨头采用的“透明与同意框架”（TCF）违反GDPR多项原则，宣布该个性化广告数据处理机制在欧洲全境非法。这项裁决或对Meta当前主张的合法性构成进一步挑战。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Android企业版推出全新设备信任（Device Trust）解决方案，通过实时验证设备安全状态强化移动端防护，应对混合办公模式下的数据泄露风险。该功能基于零信任原则，持续监测操作系统版本、安全补丁级别及屏幕锁强度等指标，无论设备是否受企业统一管理，均能在访问敏感数据前完成安全评估。 国际数据公司（IDC）终端安全研究总监Mike Jude指出：“企业需要确保接入业务系统的个人设备达到基本安全标准，Android企业版设备信任方案为此提供了重要支撑。”该平台与CrowdStrike、Okta、Omnissa、Urmobo、Zimperium等安全厂商深度集成，覆盖终端管理（EMM/UEM）、身份认证（IdPs）、端点防护（EDR/MTD）及安全信息事件管理（SIEM）四大领域，输出20余项Android专属安全指标，实现分层策略与实时决策。 设备信任方案兼容企业设备与员工自有Android终端，无需完整注册管理（EMM）即可通过安装合作安全应用完成验证，尤其适用于临时工、承包商等需快速接入业务系统的场景——任务完成后可立即撤销权限。通过实时威胁可视化管理，IT团队能及时应对系统版本过时、设备丢失等风险，提升事件响应效率。 该服务支持Android 10及以上系统。Android企业版将于7月10日举办“设备信任实践研讨会”，分享技术洞察与应用案例。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全格局因生成式AI的出现发生根本性转变。攻击者现在利用大语言模型（LLM）大规模伪造可信身份并自动化实施社会工程攻击。 最新威胁情报报告强调AI驱动攻击的复杂化趋势： 语音钓鱼激增：根据CrowdStrike《2025全球威胁报告》，2024年下半年语音钓鱼（vishing）攻击量较上半年激增442%，主因是AI生成的钓鱼语音和身份伪造技术。 社会工程主导攻击：Verizon《2025数据泄露调查报告》指出，钓鱼攻击和虚假借口仍是数据泄露的主要成因。 朝鲜深度伪造行动：朝鲜黑客组织被曝光使用深度伪造技术创建合成身份参与远程职位面试，试图渗透目标组织。 三大趋势推动AI冒充成为新型威胁载体： AI降低欺骗成本：借助开源音视频工具，攻击者仅需数分钟素材即可伪造任意身份。 虚拟协作暴露信任漏洞：Zoom、Teams和Slack等工具默认屏幕后用户的身份真实性，攻击者正利用这一假设。 概率式防御体系失效：现有深度伪造检测工具依赖面部标记分析进行概率判断，无法应对高精度伪造攻击。端点防护工具和用户培训虽有一定作用，但无法实时解答关键问题：正在对话的对象是否可信？ 传统检测技术存在根本缺陷：当前防御体系聚焦于事后检测，例如训练用户识别可疑行为或用AI分析人员真伪。但随着深度伪造技术快速进化，基于概率的工具已无法对抗AI生成的欺骗。 构建可验证的信任体系实现主动防御： 身份验证：仅允许持有加密凭证的授权用户加入敏感会议或聊天，取代传统密码/验证码机制。 设备完整性检查：若用户设备被感染、越狱或不合规，即使身份已验证也应阻止其接入会议，直至风险修复。 可视化信任标识：所有会议参与者需看到他人身份与设备安全的可验证证明，从而消除终端用户的判断负担。 Beyond Identity的RealityCheck方案专为填补协作工具信任缺口设计，通过以下功能实现实时防护： 身份核验：为每位参与者生成基于加密设备认证的可视化身份徽章。 动态风险检测：实时验证设备合规性，包括非托管设备。 跨平台支持：目前兼容Zoom和Microsoft Teams（视频与聊天功能）。 该方案通过构建无法被伪造的信任条件，在董事会会议、金融交易等高危场景中彻底阻断AI深度伪造攻击的渗透路径。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 新西兰研究员“MrBruh”指出，华硕主板预装的驱动程序软件DriverHub存在两个可通过远程利用执行任意代码的漏洞。 这两个漏洞被追踪为CVE-2025-3462（CVSS评分8.4）和CVE-2025-3463（CVSS评分9.4），攻击者可通过构造恶意HTTP请求与DriverHub交互。 华硕表示，漏洞源于缺乏充分验证，分别可被用于与软件功能交互及影响系统行为。该公司同时称“笔记本电脑、台式机或其他终端设备”不受影响。 然而MrBruh解释称，安全缺陷存在于预装软件接收和执行软件包的过程中，可实现远程代码执行。 DriverHub在后台运行，与driverhub.asus.com通信以通知用户需安装或更新的驱动程序。其依赖远程过程调用（RPC）协议，并通过本地服务允许网站通过API请求连接。 据MrBruh分析，虽然DriverHub仅接受来自driverhub.asus.com的RPC请求，但将源地址改为“driverhub.asus.com.*”即可允许未授权用户发送请求。 此外，驱动程序的UpdateApp端点接受包含“.asus.com”的构造URL参数，保存指定名称文件，下载任意扩展名文件，自动以管理员权限执行签名文件，且不删除签名验证失败的文件。 在分析以ZIP压缩包分发的独立Wi-Fi驱动程序时，MrBruh发现可利用静默安装功能通过UpdateApp端点执行任意文件。 该研究员演示了如何通过诱使用户访问托管在driverhub.asus.com.*子域名的恶意网页，实现一键远程代码执行。 MrBruh于4月8日报告漏洞，华硕于5月9日发布修复补丁。研究员称未发现任何注册的driverhub.asus.com.*域名，“表明漏洞在报告前未被主动利用”。       消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 浏览器扩展已深度嵌入员工日常工作流程，从语法检查到寻找折扣等任务均提供助力。然而，其广泛权限带来了重大安全风险，却大多未被IT和安全团队察觉。 一份独特的《2025年企业浏览器扩展安全报告》首次结合公开扩展商店数据与企业实际使用遥测数据，揭示了这一被低估的威胁载体。 报告主要发现： 扩展无处不在但危险：99%的企业用户安装了浏览器扩展，其中52%运行超过10个扩展，显著扩大了威胁面。 安全分析：几乎每位员工都可能危及组织安全。 对敏感数据的广泛权限：企业环境中53%的扩展拥有“高”或“关键”风险权限，可访问Cookie、密码、浏览历史和网页内容等敏感数据。 安全分析：单个被攻破的扩展可能使整个组织陷入风险。 生成式AI扩展：隐蔽威胁：超过20%的企业员工使用生成式AI扩展，其中58%具有“高”或“关键”权限，构成重大风险。 安全分析：企业必须对生成式AI扩展的使用和数据处理实施严格政策。 不可信的扩展发布者：54%的扩展通过Gmail账户匿名发布，79%来自仅发布过单个扩展的发布者，导致信任评估极度困难。 安全分析：扩展信任验证高度困难，增加了恶意活动的可能性。 废弃和过时扩展：51%的扩展超过一年未更新，26%的企业扩展通过旁加载规避安全审查。 安全分析：过时或未受管理的扩展因潜在漏洞显著增加安全风险。 对安全和IT团队的建议： 审计企业环境中所有浏览器扩展。 对扩展进行分类以了解其风险特征。 详细枚举和分析扩展权限。 对每个扩展执行全面风险评估。 实施基于风险的自适应安全策略以有效管理扩展威胁。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌同意向美国德克萨斯州支付13.75亿美元（约合人民币100亿元），就两起涉嫌非法追踪用户位置与违规收集生物识别数据的诉讼达成和解。这是继2024年7月与Meta（原Facebook）就非法面部识别数据使用达成14亿美元和解后，德州总检察长肯·帕克斯顿在科技巨头监管领域的又一重大胜利。 根据德州总检察长办公室发布的声明，此次和解涉及谷歌在用户关闭“位置历史记录”情况下仍秘密追踪地理位置、收集无痕搜索数据，以及通过谷歌照片服务非法获取生物识别数据（声纹与面部特征）等多项指控。此前同类案件中，全美40个州联合诉讼仅获3.91亿美元和解，加州单独诉讼金额为9300万美元，此次德州和解金额超历史总和。 “在德州，科技巨头没有法外特权。多年来，谷歌通过产品服务秘密追踪用户行踪、私人搜索甚至生物特征。我们通过多年诉讼最终赢得这场战役，”帕克斯顿表示，“这13.75亿美元和解金是对企业滥用用户信任的严厉警示，我将持续保护德州民众隐私免受科技巨头侵害。” 谷歌在声明中否认存在不当行为，称相关产品政策早已调整。发言人何塞·卡斯塔内达表示：“此次和解主要涉及多年前已修正的旧版产品功能，包括Chrome无痕模式提示、谷歌地图位置披露条款及照片生物识别数据处理方式。我们将继续加强服务中的隐私控制。” 技术细节显示，作为和解协议的一部分，谷歌将于2024年12月1日起调整地图时间线功能——相关数据将仅存储于用户设备本地，停止云端同步并关闭网页端访问权限。用户需下载移动端谷歌地图应用方可继续使用该功能。 此次和解创下美国州政府单起隐私诉讼最高赔偿纪录。2024年以来，德州通过三起科技巨头隐私诉讼累计获赔超21亿美元，包括： 2024年1月：谷歌支付700万美元和解非法收集未成年人声纹数据诉讼 2024年7月：Meta支付14亿美元和解非法面部识别数据收集案 2024年8月：本起13.75亿美元谷歌隐私和解案 法律专家指出，德州通过修订《生物识别数据隐私法》与《数据隐私与安全法案》，构建了全美最严苛的数据保护体系。该州总检察长办公室设有专职技术侦查部门，配备逆向工程专家与数字取证团队，为诉讼提供技术支持。       消息来源：securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文