据外媒 ABC 报道，澳大利亚媒体最近收到一份秘密文件显示，雅虎数据泄露事件影响了超过 3000 名政府官员，包括政治家、高级国防官员、警察和法官。 这份秘密数据由美国安全公司 InfoArmor 提供，公司发现这 3000 多个雅虎登录凭据关联邮箱为澳大利亚政府电子邮件帐户。数据内容包括电子邮件地址、密码、恢复帐户和其他个人识别数据。 安全公司 InfoArmor 此前一直在调查雅虎 10 亿账户泄露事件，去年东欧黑客组织以 30 万美元的售价将泄露数据卖给多位买家。 最可怕的是，这些账户涉及众多澳大利亚高级官员。社会服务部长 Christian Porter、维州州长 Daniel Andrews 、财政部长 Chris Bowen 、自由党议员 Andrew Hastie、自由党参议员 Cory Bernardi 等人。其他政府官员包括法官、警察、高级 AFP 官员、政治顾问、分析师等。 媒体之所以能够识别出泄露数据中的具体官员，因为这些官员使用他们的政府电子邮件账户作为备份以便找回密码。上周，记者联系了众多官员以确认这些登录凭证的真实性，但大部分官员都拒绝回答。有政府顾问表示部分高级官员的账户是由前员工申请的，不一定还在使用。澳大利亚国防部发言人回应了媒体的报道：在雅虎去年向公众宣布数据泄露事件两个月前，国防部就已经收到新南威尔士州警察局线人的消息并转告有关部门，目前已再次通知受影响的官员。 政府官员应该谨慎使用官方账号进行注册，并保护好自己的登录凭证、避免密码重用。这些泄露的账户数据可被犯罪分子利用，从事一系类恶意活动。此前，希拉里·克林顿的竞选主席约翰·波德斯塔的 Gmail 帐户就遭黑客入侵，在美国大选的关键时期泄露了一大批文件，产生了巨大的影响。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

据外媒报道，俄罗斯国有电视台第一频道( 1-TV )指责黑客在网上提前泄露《神探夏洛克》第四季最终集视频，严重打乱原有的播放计划。此次“泄露门”还导致 BBC 与 1-TV 官方相互“掐架”。 据悉，俄罗斯 1-TV 原计划周日与 BBC 同一时间播放《神探夏洛克》第四季最终集，然而早在周六这一集资源就已在互联网流传，因视频开头含有特定宣传短片从而使 1-TV 被认为是泄露源头。BBC 发言人表示此次泄露事件严重违反内容安全协议，将会展开全面调查。 昨日 1-TV 官方发言人 Larisa Krymova 正式回应“初步调查结果显示视频泄露源于黑客攻击”。不过亦有分析人士认为黑客攻击是出于政治动机，或是俄罗斯对 BBC 的报复。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接，违者必究。

瑞士威胁情报研究员发现可通过搜索引擎检索到 Box  云盘用户的机密文档数据。Box.com 认为这是用户无意中超额共享导致的。目前云盘已经改变了处理公开共享帐户和文件夹的方式，“修复”了这个问题。 Box 云盘是由美国 Box 公司提供的一个在线文件共享以及云内容管理服务平台，为企业、商务及个人用户提供个性化服务，包括无限制的存储空间、自定义与管理控制。 Box 允许帐户持有人发送“协作邀请” URL  链接，任何人可通过链接访问共享文件，并具有查看、下载、上传、编辑和重命名文件权限。在某些情况下，这些“协作邀请”链接可被 Google  、Bing 和其他搜索引擎爬取收录。 上周，瑞士电信威胁情报研究员 Markus Neis  发现 Box  云盘在处理云共享服务时存在漏洞，攻击者可以通过搜索引擎查询到 Box  云盘用户分享给特定用户的“协作邀请”链接。Neis 已经使用 Google  、Bing 和其他搜索引擎找到上万条“协作邀请”链接，这些 Box  云盘帐户或文档中大部分存储着“良性”数据，但部分账户中包含“机密”文件如敏感的金融和公司数据以及所有者不打算公开的隐私数据。研究员已经联系了戴尔科技公司、美国传媒和娱乐公司( Discovery Communications ）、生物技术公司 Illumina  ，告知其意外公开分享了部分敏感数据，这些公司也纷纷采取应急措施解决问题。 Box.com 称已重组了所有网页，确保“协作邀请”链接不会被 Google  搜索引擎收录。Box 已与 Google  联系，删除了已经收录的“公开”链接。Box.com 补充到，暴露给搜索引擎的“协作邀请”链接只是很小的一部分，公司将继续评估邀请链接的权限模型，确保此功能既方便使用又能保障安全性。 稿源：HackerNews.cc 独立翻译整理，封面来源：百度搜索。 转载或引用请注明 “转自 HackerNews.cc ” 并附上原文链接，违者必究。

五角大楼承包商 Protomac 意外发现泄露事件，军事特种作战司令部（ SOCOM ）医疗卫生专业人员的个人资料被大量曝光。泄露的数据库含 11 GB 明文、可公开访问的数据，如姓名、地址、社会安全号码和薪资，还包括至少两名经过绝密调查审核的特种部队数据分析师的姓名和家庭住址。 MacKeeper 研究员 Chris Vickery 发现了该漏洞并将情况报告给医疗解决方案公司 Protomac 。目前尚不清楚，为何可通过 Protomac 公司的 IP 地址访问不受保护的远程同步（ rsync ）服务。Vickery 先是电话联系了公司 CEO ，但似乎没有起作用，一小时后仍可访问数据库。于是，Vickery 联系了美国政府部门。半小时后，数据库被移除。 除了军方雇员信息，泄露的数据还包括 Protomac 公司的财务和会计信息。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

德国“安全研究实验室”研究员指出，旅客订票系统多年来一直未得到足够的保护。实际上，全球三大处理航班预定服务的“全球分布式系统”（ GDS ），可通过多个方面被别有用心的人所滥用获取旅客信息。 GDS 通过 6 位数字作为预定代码（ PNR Locator ），该 ID 被直接打印在了登机牌和行李标签上。 任意接近你行李（或看到旅客登机牌）的人，都可以轻松瞥到（或者用智能机拍张照）。 通过这一代码， 即可访问到完整的旅客信息：包括家庭和电子邮件地址、手机/信用卡号码、常旅客编号、以及当初在线预定该机票的 IP 地址等。更糟糕的是，黑客甚至无需特定的 ID 来验证上述信息。无论 GDS 和航空公司网站，通常都不会限制代码的访问/检查次数，因此理论上只要暴力攻击就能蒙对一次。此外，遍历所有旅客的信息也相当容易，因为该 ID 就是顺序排列的。对于攻击者来说，这也极大地减少了他们搜寻特定时间段内旅客信息的工作量。 想要解决这个问题，唯有提升系统的安全性，但方法其实非常简单。研究人员的建议是，在线服务应该限制每个 IP 访问旅客记录的次数，并且通过 Captchas 图形验证码来断绝暴力穷举攻击。 当然，直接替换掉传统的 6 位数字 ID 也是个好方法，只是实现需要的时间更长。 稿源：cnbeta，有删改，封面来源：百度搜索

据外媒报道，洲际酒店集团（ IHG ）近期正在调查美国部分酒店的客户消费后信用卡遭盗刷事件，酒店怀疑黑客通过某种手段获得了客户信用卡信息。 洲际酒店集团（ IHG ）总部位于英国，在全球 100 多个国家和地区经营着 5000 多家酒店，旗下酒店品牌有洲际酒店及度假村、皇冠假日酒店、智选假日酒店、英迪格酒店等。 上周，知名安全网站 KrebsOnSecurity 的调查员 Brian Krebs 收到多个金融机构反欺诈部门人士提供的信息，暗示犯罪分子通过洲际酒店集团系统的某些漏洞获取了客户信用卡信息，并进行了消费提现。对此，洲际酒店发言人表示，公司已经收到了类似的投诉，并已经雇佣了一家安全公司协助其调查事件真相。洲际酒店集团（ IHG ）还发表了以下声明：IHG 非常重视保护客户的支付卡数据。对于近期部分客户在酒店消费后信用卡遭盗刷的投诉，公司已经雇佣了安全公司进行调查。同时，公司建议个人应密切监控其支付卡消费帐单，出现问题及时和银行联系。 2016 年以来，拉斯维加斯硬石赌场酒店酒店、特朗普酒店、千禧酒店及度假村等公司都表示系统感染了 PoS 恶意软件，客户数据被窃取。随着元旦假期的来临，广大消费者需要提高安全意识，避免个人信息泄露。此外，应密切关注信用卡账户的资金变动。 稿源：HackerNews.cc 翻译整理，封面来源：百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据外媒 Daily Dot 报道，近日安全研究人员 Justin Schafer 发现内华达州医用大麻项目数据库中存在的一个漏洞。他利用这一漏洞就能获得 11000 多份当地民众的申请表格资料，其中包括了申请人的家庭住址、电话号码，甚至是完整的社会保险号。 据悉，这些表格属于那些申请希望能在内华达州各个大麻药房工作的民众，约有近 11700 人的生日、姓名及驾驶证号码等遭到了泄露。目前整个数据库已被下线。目前内华达州公共与行为健康部门尚未就此事发表评论。 稿源：cnbeta 有删改，封面来源：百度搜索

据外媒报道，华盛顿社区健康计划组织( CHPW ) 上周三开始向其 381534 位成员发送数据泄露通知书，泄露内容包括姓名、地址、出生日期、社会安全号码和医保信息，不包含就诊和信用卡信息。 CHPW 组织发言人表示， 11 月 7 日接到电话举报称机构计算机网络存在漏洞，暴露了参与社区健康计划的近 40 万现任和前任成员。 11 月 30 日经组织调查证实，提供网络技术服务的 NTT Data 公司使用了公开的 FTP 服务器导致数据泄露，而非黑客入侵，随后便迅速将详情告知联邦调查局和多个国家监管机构。12 月 21 日，组织开始向用户发送通知，并提供 12 个月的免费信用和身份监控服务，以确保个人信息的安全。 举报人 Justin Shafer 也在 twitter 上证实了消息。 稿源：本站翻译整理，封面来源：百度搜索

据外媒报道，108 名洛杉矶政府工作人员遭到网络钓鱼邮件攻击，最终泄露了 756000 公民的个人信息。 洛杉矶政府办公室 16 日发布新闻稿证实，黑客入侵事件发生于今年 5 月 13 日，政府工作人员遭到尼日利亚黑客发动的钓鱼邮件攻击，108 名员工点击了邮件并提供了用户名和密码。由于职责需要，他们的账户存有机密客户、病人的个人信息。约 756000 人的个人信息被窃取，数据包括姓名、出生日期、社会保障号码、驾驶执照或州身份证号码、支付卡信息、银行账户信息、家庭住址、电话号码、医疗信息等。影响人群涉及评估师、行政长官办公室、公共医疗、卫生服务、人力资源等。 事发第二天，当地检察官办公室迅速成立网络调查反应小组调查该事件，并于 12 月 8 日逮捕尼日利亚黑客 Austin Kelvin Onaghinor 。他被指控九项罪名，包括未经授权访问计算机以及非法盗取身份信息。 洛杉矶政府办公室表示，尚没有证据表明任何被窃取的个人信息已经泄露。之前，为了秘密调查并没有提前通知受影响的民众，现在已开始逐步通知受害者。 稿源：本站翻译整理，封面来源：百度搜索

上周三，美国联邦贸易委员会（FTC）已要求成人“交友”网站 Ashley Madison 支付 160 万美元罚款，因其未能保护好数据致使 3600 万用户资料泄露。 2015 年夏天，黑客盗取了 Ashley Madison 网站数据库，数据包括 3600 万用户用户名、密码和其他个人信息。黑客将数据公布在网上，多个 Ashley Madison 网站用户因忍受不了偷情行为被曝光为自杀、其他成员也遭到敲诈勒索。 2016 年 7 月联邦贸易委员会展开调查，以确定该网站是否存在安全保障不足、隐私保护不到位问题，以及调查网站是否遵守了约定：付 19 美元即刻永久删除用户资料。调查结果显示：网站未采取有效措施保护用户数据，且未遵守约定：付 19 美元删除个人资料，而是继续保存 12 个月。网站本将面临括 1760 万美元罚款，但最后考虑到网站无力支付，改成 160 万美元罚款。 稿源：本站翻译整理，封面来源：百度搜索