HackerNews 编译，转载请注明出处： 漏洞赏金平台HackerOne正在通知数百名员工，其个人数据在第三方美国福利管理商Navia遭黑客入侵后被窃取。 HackerOne管理着超过1950个漏洞赏金项目，为通用汽车、高盛、Anthropic、GitHub、Uber等知名企业，以及美国国防部等政府机构提供漏洞披露、渗透测试和代码安全服务。 Navia是美国领先的消费者导向福利管理商，服务超过1万家雇主。 在向缅因州总检察长办公室提交的申报文件中，HackerOne披露此次数据泄露影响了287名员工。 “据我们目前掌握的信息，由于存在对象级授权失效（BOLA）漏洞，未知行为体于2025年12月22日至2026年1月15日期间访问了Navia数据，”该公司表示。”2026年1月23日，Navia发现其环境中存在可疑活动。Navia于2月20日向受影响公司发送了通知函。” 泄露信息包括：社会安全号码、姓名、地址、电话、出生日期、邮箱地址、参保日期、生效日期及终止日期——涵盖每位受影响员工及其家属。 HackerOne建议受影响员工警惕可疑信息，监控财务账户异常活动，并使用Navia提供的12个月免费身份保护和信用监控服务。”如果密码或密码提示/安全问题涉及上述个人数据，建议一并更改，”公司补充道。 Navia本月早些时候披露事件时强调，数据泄露未影响受影响个人的理赔或财务信息。 然而，泄露的数据足以让威胁行为体对事件受害者发起钓鱼和社交工程攻击。 尽管Navia将此事件标记为数据窃取攻击，但目前尚无网络犯罪团伙或勒索软件组织宣称对此次入侵负责。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 日本汽车制造商马自达株式会社（Mazda）近日披露，去年12月发现的一起安全事件导致员工及合作伙伴信息外泄。 作为日本最大汽车制造商之一，马自达年产车辆120万台，年收入近240亿美元。 公司表示，攻击者利用了泰国零部件采购仓库管理系统的漏洞。该系统不包含任何客户数据，泄露记录仅限692条。 马自达在公告中称：”公司已发现针对泰国零部件采购仓库管理系统的未授权外部访问痕迹。发现后，公司立即向个人信息保护委员会（日本内阁府外局）报告，并在外部专业机构协助下实施适当安全措施并展开调查。” 调查显示，可能泄露的信息包括：用户ID、姓名、电子邮箱、公司名称及合作伙伴ID。 尽管马自达表示尚未发现信息被滥用的情况，但建议受影响人员保持警惕，因为针对他们的钓鱼攻击和诈骗风险显著增加。 除通知当局外，马自达还实施了额外的IT系统安全措施，包括减少互联网暴露面、应用安全补丁、加强可疑活动监控及引入更严格的访问策略。 截至发稿，尚无勒索软件组织公开宣称对这家日本公司发动攻击。 BleepingComputer已联系马自达了解事件详情，将在收到官方回复后更新本文。 值得注意的是，虽然马自达从未正式确认数据泄露，但Clop勒索软件组织已于2025年11月在其数据泄露网站上列出Mazda.com和MazdaUSA.com，声称入侵了这家日本汽车制造商及其美国子公司。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 知名动漫流媒体平台Crunchyroll正在调查一起数据泄露事件，此前黑客声称窃取了约680万人的个人信息。 Crunchyroll最初向BleepingComputer表示：”我们已注意到相关声明，正与顶尖网络安全专家密切合作调查此事。” 在后续声明中，Crunchyroll补充道：”调查正在进行中，我们继续与网络安全专家合作。目前我们认为，泄露信息主要限于客户服务工单数据，源于第三方供应商的一起事件。我们尚未发现与这些声明相关的系统持续访问证据，正密切监控事态发展。” 此前，一名威胁行为体于上周四联系BleepingComputer，声称于美国东部时间3月12日晚9点入侵Crunchyroll，通过获取Crunchyroll支持人员的Okta SSO账户权限实施攻击。 该支持人员据称是Telus International业务流程外包（BPO）公司员工，有权访问Crunchyroll支持工单。威胁行为体声称使用恶意软件感染该员工电脑并窃取其凭证。 据与BleepingComputer分享的截图显示，这些凭证可访问Crunchyroll多项应用，包括Zendesk、Wizer、MaestroQA、Mixpanel、Google Workspace Mail、Jira Service Management和Slack。 攻击者称利用此权限从Crunchyroll的Zendesk实例下载了800万条支持工单记录，其中包含680万个唯一电子邮箱地址。 BleepingComputer查看并随后删除的工单样本显示，信息种类繁多，包括Crunchyroll用户姓名、登录名、邮箱地址、IP地址、大致地理位置及工单内容。 尽管其他报道声称信用卡信息遭泄露，但BleepingComputer确认，信用卡详情仅在客户主动在工单中提供时才会暴露。大多数情况下仅包含基本信息，如末四位数字或有效期，极少数包含完整卡号——据威胁行为体称。 BleepingComputer查看的工单均提及Telus，印证了威胁行为体关于入侵BPO员工的说法。 攻击者称其访问权限在24小时后被撤销，使其仅能窃取截至2025年中期的数据。 黑客声称已向Crunchyroll发送勒索邮件，索要500万美元以换取不公开泄露数据，但未收到公司回应。 虽然此次攻击针对Telus员工，但BleepingComputer获悉，这与ShinyHunters勒索团伙对Telus Digital的大规模泄露事件无关。 BPO成高价值目标 过去几年，业务流程外包公司已成为威胁行为体的高价值目标，因其通常为多家公司处理客户支持、账单和内部认证系统。 因此，威胁行为体可通过入侵单一BPO员工获取跨多家公司的大量客户和企业数据。 过去一年，威胁行为体通过贿赂具有合法访问权限的内部人员、对支持人员实施社交工程以获取未授权访问，以及入侵BPO员工账户进入内部系统等方式攻击BPO。 其中最突出的案例之一是，攻击者冒充员工说服Cognizant帮助台支持代理授予其Clorox员工账户访问权限，从而入侵该公司网络。 多家大型零售商也确认，针对支持人员的社交工程攻击导致了勒索软件和数据窃取攻击。 玛莎百货（Marks & Spencer）确认攻击者利用社交工程入侵其网络，而Co-op则在披露数据遭窃后承认，勒索软件攻击同样滥用了支持人员的访问权限。 针对玛莎百货和Co-op零售公司的攻击，英国政府发布了关于帮助台和BPO社交工程攻击的指导建议。 某些情况下，黑客直接以BPO员工账户为目标，获取其管理的客户数据。 去年10月，Discord披露一起数据泄露事件，据称在其Zendesk支持系统实例遭入侵后，550万独立用户数据暴露。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 为信用社与银行提供营销及合规解决方案的服务商Marquis本周披露，去年公开的一起数据泄露事件实际影响约67.2 万人。 这家总部位于得克萨斯州的公司于 2025 年 8 月发现，黑客已入侵其系统。 在去年 12 月发布的通知中，该公司称攻击者窃取了姓名、住址、社会安全号码、出生日期、纳税人识别号等个人信息，以及支付卡号等财务信息。这些数据是Marquis代其服务的 700 家银行及信用社中的数十家机构存储的。 Marquis在首次披露泄露事件时，并未公布受影响总人数。此前根据其向美国各州监管部门提交的各州受影响人数，以及涉事金融机构自行披露的数据，外界估算至少有 78 万人受影响。 数据安全机构 Comparitech 在 2026 年 2 月曾预估，受影响人数或高达 160 万。 但Marquis本周向缅因州总检察长办公室证实，实际受影响人数仅略超 67.2 万。 若 67.2 万为真实受影响人数，则此前部分银行与信用社公布的数字可能存在重复统计 —— 部分用户在多家机构均开立账户。 目前尚无网络犯罪团伙宣称对Marquis攻击事件负责，但 Comparitech 此前报道，爱荷华州一家信用社曾发布泄露通知（现已删除），称Marquis支付了赎金，这家金融科技公司尚未对此予以证实。 Marquis未立即回应《安全周刊》要求其证实或否认该说法的问询。 Marquis此前表示，此次攻击利用了SonicWall 防火墙漏洞。在该公司发现攻击期间，Akira 勒索软件组织正加紧利用 SonicWall 防火墙漏洞实施入侵。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 身份保护公司奥拉（Aura）证实，有未经授权方获取了近 90 万条包含姓名和电子邮箱地址的客户记录。 该公司称，此次事件由一起针对其员工的语音网络钓鱼攻击引发，导致 2 万名现有客户和 1.5 万名前客户的敏感数据泄露。 本周，奥拉公司在一份通报中表示，这些数据源自其 2021 年收购的一家公司所使用的营销工具，泄露的信息有限。 奥拉是一家面向消费者的数字安全公司，提供身份盗窃防护、信用与欺诈监测以及针对网络钓鱼的在线安全工具，将自身定位为一站式在线保护服务提供商。 本周早些时候，威胁组织 “闪亮猎人”（ShinyHunters）在其数据勒索网站上宣称实施了此次攻击，并表示他们窃取了 12GB 包含客户个人身份信息（PII）以及公司数据的文件。 该威胁行为者泄露了所窃取的文件，并表示尽管他们给出了各种机会和条件，奥拉公司仍 “未能与他们达成协议”。 闪亮猎人网站上泄露的奥拉公司数据 来源：BleepingComputer 据奥拉公司称，遭泄露的客户信息包括全名、电子邮箱地址、家庭住址和电话号码。该公司强调，社会安全号码（SSN）、账户密码以及财务信息并未泄露。 “我是否已遭泄露”（Have I Been Pwned，HIBP）服务对泄露数据进行了分析，并将其添加到自身数据库中，同时指出客户服务评论和 IP 地址也被曝光。HIBP 还表示，此次事件中曝光的电子邮箱地址，90% 已因过往安全事件存在于其数据库中。 BleepingComputer 就 HIBP 报告称受影响账户略超 90.1 万个与奥拉公司数据存在差异一事向奥拉询问，奥拉公司表示自家数据准确。 这是因为 2021 年收购公司时继承了通过该营销工具收集的数据。然而，数据库中仅有 3.5 万名奥拉客户。该公司拒绝对 “闪亮猎人” 的说法或所谓的奥克塔（Okta）单点登录系统遭入侵一事进一步置评。 目前，奥拉公司正与外部网络安全专家合作开展深入内部审查，并向 BleepingComputer 证实已通知执法部门。 奥拉公司告知我们，很快将向所有受影响人员发送个性化通知。 消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 负责维护英国公司公共登记册的政府机构 —— 公司注册处（Companies House）的一个网络应用程序中发现了一个严重漏洞。 据税务政策协会（Tax Policy Associates）称，该安全漏洞于 3 月 12 日由 Ghost Mail 的约翰・休伊特（John Hewitt）发现，但在推出补丁之前，它已存在了数月之久。 休伊特发现，任何已登录的用户都可以访问公司注册处平台上其他公司的账户。攻击者本可以获取 500 万家注册公司的非公开信息，包括董事的出生日期、家庭住址和电子邮件地址。 此外，攻击者还可以更改公司信息并提交未经授权的文件备案。 虽然该漏洞只能由已通过身份验证的攻击者利用，但实施攻击轻而易举，且无需技术技能。 攻击者只需选择 “为其他公司提交文件” 选项，输入目标公司的唯一编号，当系统提示输入验证码时，多次按下返回按钮。随后，攻击者将自动登录目标公司的账户。 在 RSAC 与我们会面 公司注册处在周一发布的一份声明中证实了这一安全漏洞，并表示它影响了其在线申报服务（WebFiling service）。该漏洞于 2025 年 10 月出现，在周五该服务关闭后，于周末得到修复。 该机构表示：“普通公众无法访问此漏洞。只有拥有授权码并登录该服务的用户才能执行此操作。” 公司注册处澄清，该漏洞并未暴露密码以及身份验证过程中收集的信息（如护照信息）。此外，攻击者无法对已提交的现有文件进行更改。 该机构解释称：“我们认为，此问题无法用于大量提取数据或系统地访问记录。任何访问都将仅限于单个公司记录，且每次只能由注册的在线申报用户查看一家公司记录。” 公司注册处还指出，虽然尚未发现有任何数据通过利用此漏洞被访问或更改的情况，但各公司仍应核实自身详细信息和申报历史，并报告任何可疑情况。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加拿大零售商罗布劳（Loblaw）在威胁行为者获取客户信息后，披露了一起数据泄露事件。 罗布劳是加拿大最大的食品和药品零售商之一。它在加拿大各地经营着 2400 多家门店，拥有诸如购物者药品超市（Shoppers Drug Mart）、平价超市（No Frills）、加拿大真实超市（Real Canadian Superstore）和总统之选（President’s Choice）等品牌。 该公司在一份简短的数据泄露通知中表示，其最近发现一个 “第三方犯罪分子” 获取了客户的基本信息，如姓名、电子邮件地址和电话号码。 该公司称：“罗布劳目前的调查显示，密码、健康信息和信用卡数据未遭泄露。调查还表明，PC 金融（PC Financial）未受此次数据泄露事件的影响。” 目前尚不清楚有多少客户受到罗布劳数据泄露事件的影响。 在撰写本文时，没有已知的勒索软件组织声称对罗布劳的攻击负责。 就在罗布劳披露数据泄露事件之际，星巴克刚刚开始通知数百名员工，告知他们发生了一起网络安全事件，其个人信息已被泄露。 消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 星巴克披露了一起数据泄露事件，数百名员工的个人信息遭到波及。 这起网络安全事件于 2 月 6 日被察觉，当时这家咖啡巨头获悉其 “星巴克伙伴中心” 账户遭到未经授权的访问。 “伙伴中心” 是星巴克员工（公司称他们为 “伙伴”）用于管理个人信息、薪资以及福利数据的在线门户网站。 基于星巴克披露的有限信息来看，似乎其系统并非直接攻击目标，网络也未遭破坏。 一项调查发现，黑客通过网络钓鱼攻击获取用户凭证后，得以访问 “星巴克伙伴中心” 账户。此次网络钓鱼利用了模仿该门户网站设计的虚假网站。 星巴克在向受影响员工发出的通知中称：“基于我们的调查，我们了解到您的部分个人信息，包括姓名、社会安全号码、出生日期、金融账户号码及路由号码，可能已被未经授权的第三方获取。” 执法部门已得知这起事件，同时星巴克为受影响员工提供免费的身份信息保护服务。 根据提交给缅因州总检察长办公室的数据泄露通知，此次事件影响了近 900 名星巴克员工。该公司在美国拥有超过 20 万名员工。 该通知还显示，对员工账户的未经授权访问发生在 1 月 19 日至 2 月 11 日之间。   消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 瑞典网络与电信巨头爱立信的美国子公司爱立信公司表示，攻击者在入侵其一家服务提供商后，窃取了数量未披露的员工与客户的数据。 母公司总部位于斯德哥尔摩，成立于 1876 年，是通信技术领域的领军企业，在全球拥有近 9 万名员工。 在周一发送给受影响个人并提交给加州总检察长的数据泄露通知函中，爱立信称，一家为员工和客户存储个人数据的服务提供商于 2025 年 4 月 28 日发现了数据泄露。 在检测到该事件后，该服务提供商通知了美国联邦调查局（FBI），并聘请外部网络安全专家评估泄露的范围及其影响。 已于上月完成的调查发现，有数量未披露的个人数据在此次事件中遭到泄露。不过，爱立信指出，遭入侵的服务提供商尚未发现数据在泄露后被滥用的证据。 爱立信表示：“根据调查结果，我们的服务提供商确定，在 2025 年 4 月 17 日至 2025 年 4 月 22 日期间，有限的一部分文件可能被未经授权访问或获取。” “作为调查的一部分，该服务商聘请了外部数据专家对可能受影响的文件进行全面审查，以识别其中包含的任何个人信息。该审查于 2026 年 2 月 23 日完成，届时我们确定受影响的文件中包含了你的部分个人信息。” 根据提交给得克萨斯州总检察长的另一份文件，此次泄露仅在得克萨斯州就影响了 4377 人，泄露的信息包括受影响人员的姓名、地址、社会安全号码、驾照号码、政府签发的身份证件号码（如护照、州身份证）、财务信息（如账号、信用卡或借记卡号码）、医疗信息以及出生日期。 爱立信目前正在为受影响人员提供免费的 IDX 身份保护服务，包括信用监控、暗网监控、身份盗窃恢复，以及一项保额 100 万美元的身份欺诈损失报销保单，受影响人员需在 2026 年 6 月 9 日前注册。 尽管该公司将此事件定性为数据窃取攻击，但尚无网络犯罪组织宣称对此次泄露负责。这引发了一种可能性：要么是服务提供商向攻击者支付了赎金，要么是威胁行为者未能将此次泄露与爱立信关联起来。 当 BleepingComputer 联系爱立信寻求更多泄露细节（包括受影响人员总数）时，爱立信发言人表示，除了通知函内容外，他们 “没有其他信息可以披露”。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 纽约地标麦迪逊广场花园（MSG）确认遭数据泄露，涉及2025年针对甲骨文电子商务套件（EBS）的大规模网络犯罪活动。 MSG是全球著名多功能室内场馆，位于纽约市，承办体育赛事、演唱会及娱乐活动，为NBA尼克斯队和NHL游骑兵队主场。 该事件于攻击发生数月后披露，MSG成为利用甲骨文EBS环境漏洞实施大规模黑客行动的众多受害组织之一。 2025年11月，Cl0p勒索软件组织利用零日漏洞入侵包括MSG在内的100多家机构。MSG拒绝支付赎金后，该勒索组织泄露超210GB公司存档文件。 MSG向缅因州总检察长办公室提交的通知信显示：”甲骨文EBS由供应商托管管理，用于部分人力和财务运营。甲骨文通知客户，应用程序中此前未披露的条件被未经授权者利用以获取数据，据称超过100家公司受影响。供应商于2025年11月下旬调查确定，未经授权者于2025年8月获取部分应用数据。经审查，涉及招聘或付款相关的业务记录文件，并于2025年12月确认包含姓名和社会保障号的文件受影响。” 2025年10月，甲骨文发布紧急补丁修复EBS中关键漏洞CVE-2025-61882（CVSS评分9.8）。该漏洞被Cl0p利用实施数据窃取，未经身份验证的远程攻击者可借此控制甲骨文并发处理组件。 MSG已报警并开始通知受影响个人，同时通过TransUnion旗下Cyberscout为受害者提供免费一年信用监控、报告及评分服务，以检测个人信息滥用并提供身份盗窃保护。 MSG表示：”已确认供应商成功实施甲骨文推荐的应用防护措施以防止再次发生，并已通知执法部门。” 消息来源：securityaffairs.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文