Cybernews 研究团队发现，法国高科技工业集团 Exail 暴露了一个带有数据库凭证的可公开访问的环境 (.env) 文件。 Exail于 2022 年由 ECA Group 和 iXblue 合并后成立，专注于机器人、海事、导航、航空航天和光子技术，其客户包括美国海岸警卫队。由于这些特性，Exail成为攻击者特别感兴趣的目标。 研究团队发现，托管在 exail.com 网站上可公开访问的 .env 文件已暴露在互联网上，导致任何人都可以对其进行访问。环境文件充当计算机程序的一组指令，因此，文件的完全开放可能会暴露关键数据，一旦攻击者访问，便可以查看、修改或删除敏感数据并执行未经授权的操作，并为攻击者者提供一系列攻击选项。 研究团队还发现，Exail 的网络服务器版本和特定操作系统也受到了威胁。如果攻击者知道网络服务器上运行的操作系统及其版本，就可以针对性地利用与操作系统相关的特定漏洞。 而具有已知特定操作系统暴露的 Web 服务器可能成为自动扫描工具、恶意软件和僵尸网络的目标。一旦攻击者了解了操作系统的特性，就可以集中精力寻找和利用与该操作系统相关的漏洞。他们可以采用扫描、证明或使用已知漏洞等技术来访问服务器或损害其安全性。 此外，攻击者还可以利用操作系统特定的弱点对暴露的 Web 服务器发起拒绝服务 (DoS) 攻击，从而中断服务器的运行。 Cybernews研究团队向Exail进行反馈后，对方已经修复了该问题，但并未透露有关问题更加详细的信息。   转自Freebuf，原文链接：https://www.freebuf.com/news/378873.html 封面来源于网络，如有侵权请联系删除

研究人员声称，与之前的重大违规事件有关的臭名昭著的黑客组织已经泄露了从信用机构TransUnion窃取的数GB个人数据。一个专门收集恶意软件样本的网站 vx-underground 表示，一名绰号为“USDoD”的个人发布了一个3GB的数据库，其中包含58,505名个人的个人身份信息(PII)。 尽管没有关于这些人是客户还是员工的信息，但考虑到该公司的规模，至少部分所获取的PII似乎来自客户。 Vx-underground在X（以前称为Twitter）上的一篇帖子中表示：“该数据库似乎于2022年3月2日遭到泄露。这个泄露的数据库包含全球各地个人的信息，包括美洲（南北美洲）以及欧洲。” 所获取的PII包括名字和姓氏、TransUnion内部标识符、护照信息（包括出生地点和日期）、婚姻状况、年龄、雇主信息、信用评分和贷款信息。 对网络钓鱼攻击者来说，这是一个重要的宝库，可以用来对受害者进行后续欺诈攻击。 Emsisoft威胁分析师Brett Callow 在X上发表的另一篇文章显示，USDoD在BreachForums上发布了这些数据，上周他们曾在该网站上共享了从3200家空客供应商窃取的个人信息。 当时，USDoD声称与一个名为Ransomed的勒索软件组织合作。该组织已经暗示，航空航天行业的更多受害者可能很快就会被攻破，其中包括美国国防承包商洛克希德·马丁公司和雷神公司。Vx underground还声称，这一黑客组织已经向北约方面进攻。 Radiant Logic信息安全官Chad McDonald认为，如果TransUnion违规行为是合法的，那么它应该提醒组织采取积极措施防止违规行为。 他补充道：“企业很容易在身份数据方面遇到困难，无论是身份孤岛、重复还是异常——缺乏身份可见性和管理都可能导致对企业资源的访问不适当或过时。通过采取身份优先的安全方法，并将身份数据整合到一个单一的、经过强化的数据存储中，可以避免外部和内部的数据泄露。” 有趣的是，数据库泄露的日期似乎与去年TransUnion南非业务发生的勒索软件事件一致，当时黑客组织要求信用机构支付1500万美元赎金。   转自E安全，原文链接：https://mp.weixin.qq.com/s/21a9ISmzORJ44PoPz6smeg 封面来源于网络，如有侵权请联系删除

微软人工智能研究人员在GitHub上发布一个开源训练数据存储桶时，意外暴露了数十TB的敏感数据，其中包括私钥和密码。云安全初创公司Wiz在与TechCrunch分享的研究报告中称，它发现了一个属于微软人工智能研究部门的GitHub存储库，这是其正在进行的云托管数据意外暴露工作的一部分。 该 GitHub 存储库提供了用于图像识别的开源代码和人工智能模型，它指示读者从 Azure 存储的 URL 下载模型。然而，Wiz 发现该 URL 被配置为授予整个存储账户的权限，从而错误地暴露了更多私人数据。 这些数据包括 38 TB 的敏感信息，其中包括两名微软员工个人电脑的个人备份。这些数据还包含其他敏感的个人数据，包括微软服务的密码、密钥以及数百名微软员工的 30000 多条内部 Microsoft Teams 消息。 据 Wiz 称，从 2020 年开始就暴露了这些数据的 URL 也被错误地配置为允许”完全控制”而非”只读”权限，这意味着任何知道在哪里查看的人都有可能删除、替换和注入恶意内容。 Wiz 指出，存储账户并没有直接暴露。相反，微软人工智能开发人员在URL中加入了一个过度许可的共享访问签名（SAS）令牌。SAS 令牌是 Azure 使用的一种机制，它允许用户创建可共享的链接，授予对 Azure 存储账户数据的访问权限。 Wiz 联合创始人兼首席技术官阿米-卢特瓦克（Ami Luttwak）介绍说：”人工智能为科技公司释放了巨大的潜力。然而，随着数据科学家和工程师竞相将新的人工智能解决方案投入生产，他们所处理的海量数据需要额外的安全检查和保护措施。由于许多开发团队需要处理海量数据、与同行共享数据或在公共开源项目上合作，像微软这样的案例越来越难以监控和避免。” Wiz表示，它在6月22日与微软分享了调查结果，微软在两天后的6月24日撤销了SAS令牌。微软表示，它已于 8 月 16 日完成了对潜在组织影响的调查。 微软安全响应中心在发表前分享的一篇博文中说，”没有客户数据被暴露，也没有其他内部服务因为这个问题而面临风险”。 微软表示，根据 Wiz 的研究结果，它已经扩展了 GitHub 的秘密扫描服务，该服务可以监控所有公开开源代码的变更，以防明文暴露凭证和其他秘密，包括任何可能具有过度许可过期或权限的 SAS 令牌。   转自cnBeta，原文链接：https://www.toutiao.com/article/7280153155953082943/?log_from=4efa4fbc99792_1695088226410 封面来源于网络，如有侵权请联系删除

Bleeping Computer 网站披露，某黑客组织通过一个伪造和受损的 Facebook 账户网络，发送数百万条 Messenger 钓鱼信息，利用密码窃取恶意软件攻击 Facebook 企业账户。 据悉，网络攻击者通过诱骗目标用户下载一个 RAR/ZIP 压缩包，压缩包中包含一个基于 Python 的可规避窃取程序下载器，该窃取程序能够抓取受害目标浏览器中存储的 cookie 和密码。根据  Guardio 实验室一份新报告显示，大约每七十个目标账户中就有一个账户最终被成功入侵，从而导致巨大经济损失。 Facebook Messenger 网络钓鱼 首先，黑客向 Facebook 企业账户发送 Messenger 钓鱼信息，假装侵犯版权或要求其提供更多产品信息。 Messenger 上的钓鱼信息（Guardio Labs） 此外，压缩包中还包含一个批处理文件，如果受害目标执行该文件，就会从 GitHub 存储库中获取一个恶意软件下载器，以逃避拦截列表并尽量减少明显的痕迹。 除有效载荷（project.py）外，批脚本还获取信息窃取恶意软件所需的独立 Python 环境，并通过设置窃取程序二进制文件在系统启动时执行来增加持久性。（project.py  文件有五层混淆，因此是使得使反病毒引擎难以捕获该威胁） 有效载荷的部分代码（Guardio Labs） 该恶意软件会将受害者网络浏览器上存储的所有 cookie 和登录数据收集到一个名为 “Document.zip “的 ZIP 压缩包中，然后通过 Telegram 或 Discord 僵尸 API 将窃取的数据信息发送给网络攻击者。 随后，网络攻击者会清除受害者设备上的所有 Cookie 以注销其账户，这样做的话攻击者就有足够的时间通过更改密码来劫持新入侵的账户。（鉴于社交媒体公司可能需要一段时间才能回复有关账户被劫持的电子邮件，这就给威胁攻击者利用被黑账户进行欺诈活动，预留了一部分时间。） 完整的攻击链（Guardio Labs） 活动规模 目前，尽管攻击链并不“新奇”，但 Guardio 实验室观察到此次网络攻击的活动规模着实令人震惊，研究人员报告称每周大约有 10 万条网络钓鱼信息，其中大部分发送到了北美、欧洲、澳大利亚、日本和东南亚的 Facebook 用户上。 受害者热图（Guardio Labs） Guardio Labs 表示此次网络攻击活动规模庞大，Facebook 所有企业账户中约有 7% 已成为了攻击目标，其中 0.4% 下载了恶意存档。再加上感染该恶意软件后，用户仍需执行批处理文件，因此被劫持账户的数量尚不清楚，但可能数量相当可观。 攻击活动或与越南黑客有关 值得一提的是，鉴于恶意软件中有某些字符串，并使用“Coc-Coc”网络浏览器（该浏览器在越南非常流行），Guardio 将本次网络攻击活动归因于越南黑客,。 Guardio 进一步解释道，消息”Thu Spam lầ第 n 个 ứ 它被发送到 Telegram 机器人程序，并附上执行时间的计数器，从越南语翻译为“收集 X 时间的垃圾邮件”。 越南威胁攻击组织今年以脸书为目标开展了多次大规模活动，主要通过 Telegram 或暗网市场转售被盗账户来获利。其中在 2023 年 5 月Facebook 曾宣布其阻止了一场源自越南的网络攻击活动，该活动部署了一种名为“NodeStealer”的新型信息窃取恶意软件。2023 年 4 月，Guardio Labs 也曾披露一名越南威胁攻击者滥用 Facebook 广告服务，用窃取信息恶意软件感染了大约 50 万用户。   转自Freebuf，原文链接：https://www.freebuf.com/news/377769.html 封面来源于网络，如有侵权请联系删除

加拿大税务局在2020年遭受了一起网络攻击事件，导致数千个用户账户密码被盗，部分用户个人信息和财产受到侵害，现在用户提起了集体诉讼。 有消息称，加拿大联邦法院已经核准一项针对该国联邦政府的集体诉讼，指控政府在“保护加拿大人机密信息方面存在疏忽，导致广泛的隐私侵犯”。 这项诉讼之所以被提起，是因为2020年加拿大税务局账户和其他政府服务遭受了网络攻击。 原告认为加拿大政府网站未采取足够保护措施 原告Todd Sweet是一名来自不列颠哥伦比亚省的退休警官。他认为几家在线政府门户网站“未采取足够的保护措施”，将敏感信息置于危险之中，使“不良行为者”能未经同意即访问加拿大人的在线账户。 除了声称私人账户遭到侵犯，Sweet还指控黑客能够冒领加拿大紧急响应补助金（CERB），导致真正有需要的人无法获得必要的资金支持。 Sweet要求法院命令加拿大政府，给予账户遭侵犯者财务赔偿，并提供修复伤害可能需要的信用监控服务。 诉讼中提出的指控尚未在法庭上接受检验。根据核准通知，联邦政府否认在此事中有任何不当行为。 税务局称有1.12万个用户账户受影响 在2020年8月，加拿大税务局暂停提供在线服务，因为两次网络攻击导致数千个用户名和密码被盗。 根据联邦政府的说法，有总共11200个联邦政府服务账户遭到“撞库”攻击，黑客使用其他在线门户的密码和用户名来访问加拿大人在税务局的账户。 官方表示，他们在2020年8月7日首次发现了这些安全漏洞，但直到2020年8月11日才联系加拿大皇家骑警。 任何人，只要个人或财务信息在2020年3月1日至12月31日期间被未经授权的第三方访问，都会自动纳入这场集体诉讼。加拿大政府在线账户包括加拿大税务局账户、“我的加拿大服务”账户以及使用GCKey登录的任何其他联邦政府服务。 核准通知说，任何人，只要受到这些安全漏洞影响，无需采取任何行动即可参与这一集体诉讼程序，也可以选择退出诉讼。 如果选择退出，他们必须在11月27日之前填写本案代理律所发布的在线表格。核准通知底部也提供了一份退出表和收取该表格的电子邮箱地址。 通知进一步解释说，诉讼将要求对损害提供一揽子赔偿。这意味着，如获任何赔偿，法官将确定如何将赔偿分配给受影响者。   转自安全内参，原文链接：https://www.secrss.com/articles/58698 封面来源于网络，如有侵权请联系删除

Cyber News的一项调查研究显示，全球多所顶尖高校的网站未能及时更新安全补丁，存在敏感信息泄露，甚至被攻击者全面接管的风险。 Cyber News 研究团队详细调查了 20 个每月有数百万访问量的高校网站，其中至少有6个是位于全球Top 100的顶尖高校。研究人员表示，针对大学的攻击历来非常常见，包括了从学生试图取消课程发起的 DDoS 攻击到全面的勒索软件攻击。 安全级别不一定与高校的规模或重要性相关，因为规模较小和较大的高校都表现出类似的漏洞。虽然调查结果不包括任何未受保护的数据库或一年多前的漏洞，但一些高校迟迟没有应用安全更新。研究人员还发现了几个关键漏洞和非常敏感的凭证被泄露。 研究发现，由于暴露的环境文件 (.env) 或远程代码执行 (RCE) 漏洞，UTEL大学（墨西哥）、台湾大学、瓦尔登大学、西印度群岛大学（牙买加）、加州大学圣地亚哥分校泄露的信息可能导致网站被完全接管。 加州大学圣地亚哥分校的网站留下了数据库凭据、Cloudflare 凭据、WordPress 凭据和电子邮件凭据可供获取。攻击者可以利用这些来接管网站、重定向到恶意服务器、从官方通信渠道进行网络钓鱼以及访问用户信息。 台湾大学 (NTU) 的网站泄露了 JSON Web Token 机密、数据库凭据和带有用户名的 git URL。这些都可能使攻击者能够劫持帐户并获得管理员访问权限。 瓦尔登大学和西印度群岛大学这两所规模较小的大学的网站容易受到远程代码执行的攻击，从而可能导致网站被接管。 研究还发现另外8所高校：匹兹堡大学、不列颠哥伦比亚大学、安第斯大学（哥伦比亚）、自由大学、旧道明大学、范德比尔特大学、新罕布什尔大学泄露的凭证或漏洞利用可以获取学生和教师的私人信息。 研究人员指出，他们的研究范围并不详尽，这也意味着所发现的漏洞和错误配置能够被初级网络攻击者利用。为了进行更详细的分析，需要进行更深入的渗透测试。 不应被公开的环境文件 环境文件不应让外部人员访问，因为这些文件是配置文件，通常包含 Web 应用程序使用的部分或全部第三方服务、数据库和 API 凭证。攻击者可能会使用暴露的凭证来访问私有数据库并滥用 API 函数。在某些情况下，泄露的凭证可能会导致整个网站遭到入侵。此外，Git 存储库配置文件的凭证在受损时（允许攻击者下载和检查网站的源代码）应该重置。 而RCE 漏洞，例如 WSO2 Web 服务器 RCE 漏洞 (CVE-2022-29464) 和 Microsoft Exchange RCE 漏洞 (CVE-2023-21529)需要手动或自动修补，或更新 Microsoft Exchange 服务器。 研究人员发现，瓦尔登大学和西印度群岛大学正在运行易受攻击的 WSO2 Web 服务器版本，且这些服务器在一年多的时间内没有更新。其他大学，如范德比尔特大学、新罕布什尔大学和旧道明尼恩大学则延迟了一个多月才修补其 Microsoft Exchange 服务器的 RCE 漏洞。 关于泄露的凭证，研究发现，有两所高校使用了给定软件的默认凭证，5所大学使用了弱密码，反映出这些高校在安全实践上的不足，并暗示了用于其他应用程序的凭证也可能同样使用了弱密码。 来自部分高校的回应 Cybernews 联系了研究中提到的所有大学。波特兰州立大学在接到报告后解决了相应的漏洞问题。 匹兹堡大学回应称，确保数据安全对学校至关重要，信息安全团队在收到通知后立即采取措施修复了漏洞。 瓦尔登大学则称他们没有任何数据泄露或曝光，并表示自己拥有强大的监控系统，致力于保护学生和教职员工的隐私和安全信息，定期进行软件更新和扫描潜在漏洞，以确保不发生泄露。   转自freebuf，原文链接：https://www.freebuf.com/news/377626.html 封面来源于网络，如有侵权请联系删除

强生医疗健康系统公司（“Janssen”）近日通知其CarePath客户，他们的敏感信息在涉及IBM的第三方数据泄露事件中遭到泄露。 CarePath是一款应用程序，帮助患者获得杨森药物、提供针对符合条件的处方提供折扣和节省成本的建议、保险范围指导以及提供药物补充和管理警报服务。 IBM是强生公司的技术服务提供商，负责CarePath应用程序和数据库的技术服务和管理。 根据强生网站上的通知，该制药公司发现了一种可未授权访问CarePath数据库的新方法。 强生公司向IBM报告了这一情况后，IBM立即修复了安全漏洞并启动了内部调查，以评估是否有人利用了该漏洞。 不幸的是，2023年8月2日结束的调查显示，未经授权的用户访问了以下CarePath用户详细信息： 全名 联系信息 出生日期 健康保险信息 用药信息 医疗状况信息 强生表示，社会安全号码和金融账户数据没有保存在被泄露的数据库中。 此次数据泄露事件影响了2023年7月2日之前注册强生公司在线服务的CarePath用户，这可能表明数据泄露发生在当天，或者泄露的是数据库备份。 此外，强生公司还澄清，此次安全事件不会影响杨森的肺动脉高压患者。 安全专家指出，泄露的患者数据可用于高效的网络钓鱼、诈骗和社会工程攻击，考虑到医疗数据的价值，它们很有可能在暗网市场上以溢价出售。 IBM针对该事件发布了一份单独的公告，称没有迹象表明被盗数据已被滥用。尽管如此，IBM仍敦促Janssen CarePath用户保持警惕，并密切监控其账户报表是否存在可疑活动。 强生不是IBM数据泄露的第一个医疗行业受害者，仅仅数周前，科罗拉多州医疗保健政策和融资部(HCPF)通知400万人，他们的个人和医疗数据因IBM的泄露而遭到泄露。 IBM是今年早些时候遭受Clop勒索软件攻击的数百家实体之一，后者利用了全球知名企业广泛采用的MOVEit Transfer软件中的零日漏洞。 安全媒体BleepingComputer已向IBM询问此事件是否与MOVEit攻击有关，IBM发言人回复称是由不同威胁行为者引起的单独事件。     转自GoUpSec，原文链接:https://mp.weixin.qq.com/s/LIEfgzfiK94LKjZcUTy_WQ 封面来源于网络，如有侵权请联系删除

Mozilla分析了25个主要汽车品牌，并在隐私和安全方面给所有品牌打了不及格的分数。他们收集大量的个人数据，并与其他人共享这些数据，而通常未经客户的明确许可。 Mozilla是为支持和领导开源的Mozilla项目而设立的一个非营利组织。该组织制定管理开发政策，经营关键基础组织并管理商标及其他知识产权。他们把自己描述为“一个致力于在互联网领域提供多样化选择和创新的公益组织”。 作为“不包括隐私”项目的一部分，Mozilla分析了汽车制造商提供的隐私政策和应用程序。目标品牌包括宝马、雷诺、斯巴鲁、菲亚特、吉普、克莱斯勒、大众、丰田、雷克萨斯、福特、奥迪、梅赛德斯-奔驰、本田、林肯、讴歌、起亚、GMC、雪佛兰、现代、日产和特斯拉。研究表明，这些公司提供的隐私政策文件向客户通报了所收集的各种数据，包括健康和遗传信息、种族、移民身份、体重、面部表情、位置、驾驶速度、多媒体内容。 这些数据是通过移动应用程序、经销商、公司网站、车辆远程信息处理、传感器、摄像头、麦克风和连接到车辆的电话收集的。Mozilla根据数据使用、数据控制、跟踪记录和安全性对公司进行了排名。最好的是雷诺及其子公司达西亚，它们是需要遵守欧盟通用数据保护条例的欧洲公司。而最差的则是日产和特斯拉。 主要汽车制造商经常披露出影响其客户个人隐私的数据泄露事件。此外，超过一半的品牌的隐私政策显示，他们可以与执法部门和其他政府机构共享收集的信息。此外，84%的受访者表示他们可以与服务提供商、数据经纪人和其他人共享个人数据，而76%的受访者表示他们可以出售收集的个人数据。该组织指出，虽然消费者可以选择不使用汽车应用程序或尽量不使用连接服务，但这可能意味着他们的汽车无法正常工作或者根本无法正常工作。消费者在隐私方面几乎没有控制权和选择权，除了简单地购买旧型号，监管机构和政策制定者在这方面没有提供保障。 Mozilla研究人员试图联系每个被分析的品牌，以澄清他们的隐私政策，但只有梅赛德斯以模糊的声明回应。Mozilla得出的结论是，在所有类型的产品中，汽车的隐私安全是最糟糕的。     转自E安全，原文链接:https://mp.weixin.qq.com/s/sCx8qK3Yo_2nUgvLWtEEpQ 封面来源于网络，如有侵权请联系删除

因发生勒索软件事件，美国宾州钱伯斯堡学区宣布连续三天取消所有课程，直到周五才正常开放。 新学年刚开始不到一周，美国宾夕法尼亚州钱伯斯堡学区宣布发生“临时网络故障”，连续三天（8月28-30日）取消所有课程。 该学区发表在线声明，表示“正在与第三方司法鉴定专家密切合作，调查故障来源，确认故障对系统的影响，并尽快恢复系统的全部功能。” 网络安全专家Angel Kern表示，服务中断最可能的原因是勒索软件攻击。Kern在宾夕法尼亚州立大学和南卡罗来纳州低地技术学院教导网络安全。他虽然没有和钱伯斯堡学区的司法鉴定专家合作，却也很关注这一事件。 Kern说：“勒索软件特别恶劣。如果你无法访问系统，就无法教学。（勒索软件导致）你不能访问系统进行教学。所以，（学校关闭）并不令人意外。” 上周四，钱伯斯堡学区确认，技术故障与“勒索软件事件”有关。 学区还宣布，所有学校将于上周五（9月1日）按常规时间开放。学区将上周四的课程表整体向后推迟两小时，要求学生在上周剩余时间里，将平板电脑设备留在家中，禁止访客和志愿者进入学校建筑。学区表示，预期技术限制还将持续，学生将无法访问互联网。 学区工作人员在学区网站上发布消息，表示：“我们将继续调查，与我们的专业领域专家以及执法部门一起确定这一事件的全部性质和范围。” 勒索软件威胁态势严峻 根据威胁情报公司Recorded Future的数据，迄今为止，今年美国已有至少120个学区遭受了勒索软件攻击。许多学校在系统中存储敏感数据，包括学生社保号码和医疗记录。 Angel Kern表示：“防范勒索软件真的很困难。只要某一个员工点击电子邮件中的链接——特别是管理级别的员工——你就失去了对所有系统的控制。你要么得支付比特币，要么得从备份中恢复数据。只要黑客掌控了服务器，他们就一定能访问存储的数据。” 上周二晚上，忧心忡忡的家长在钱伯斯堡学区董事会会议上要求学区给出解释。在会议的公共评论环节，一名家长说：“我只是想知道，为什么学区不说出实际发生了什么。我有朋友在学区工作，他们说系统被黑了。” 根据钱伯斯堡学区有关计算机存储个人信息遭泄漏的官方政策，除非有“合理的原因”，学区不得“延迟”通知受影响的学生和家长。 虽然勒索软件攻击可能导致敏感信息泄露，但是家长不用过度恐慌。Angel Kern说：“现在遍地都是黑客和勒索软件攻击，你的数据可能早已经外泄了。” 考虑到这一点，Angel Kern建议所有人，无论是否受到影响，都定期检查银行和信用卡账户，并和美国三家主要信用报告机构联系，冻结自己的信贷数据。     转自安全内参，原文链接:https://www.secrss.com/articles/58481 封面来源于网络，如有侵权请联系删除

Freecycle是一个致力于交换二手物品的在线论坛，拥有来自全球5300多个地方城镇的近1100万名用户。该论坛近日发生了大规模数据泄露事件，700 多万用户受到影响。 该组织称是在上周三（8月30日）发现这一漏洞的，而在此之前几周，有威胁行为者在一个黑客论坛上出售被盗数据，并警告受影响者立即更换密码。 据 Freecycle 称，此次被盗取的信息仅包括用户名、用户 ID、电子邮件地址和 MD5 加密密码。 从出售被盗信息的威胁行为者分享的截图来看，Freecycle 创始人兼执行董事Deron Beal的身份信息在此次事件中被盗，这才使得威胁行为者可以完全访问会员信息和论坛帖子。 Beal 在主页上发布的通知中警告称，Freecycle.org于8月30日发生了数据泄露事件，因此建议所有会员尽快更改密码，对此带来的不便深表歉意。 Freecycle 数据出售，图源：BleepingComputer Freecycle建议在其他在线服务中使用相同密码的用户更改密码，以防账户被盗。要重置 Freecycle 密码，可使用以下两种方法之一： 从个人档案的设置向下滚动到密码重置部分 从密码重置页面通过电子邮件发送 用户应注意，由于 Freecycle 的 “电子邮件系统目前非常繁忙”，通过电子邮件重置密码的过程可能会出现延迟（最长一小时）。 Freecycle 表示，在获知数据泄露事件后，该公司也向有关部门报告了这一事件。 同时，也提醒用户注意，虽然大多数电子邮件提供商在过滤垃圾邮件方面做得很好，但您可能会发现收到的垃圾邮件比平时多。 请一如既往地对网络钓鱼邮件保持警惕，避免点击邮件中的链接，以及不要轻易下载附件。     转自Freebuf，原文链接:https://www.freebuf.com/news/377077.html 封面来源于网络，如有侵权请联系删除