HackerNews 编译，转载请注明出处： 教育出版巨头培生集团（Pearson）向BleepingComputer证实遭遇网络攻击，威胁分子窃取了企业数据和客户信息。 这家总部位于英国的公司是全球最大的学术出版、数字学习工具和标准化考试服务商之一，通过印刷与在线服务为70多个国家的学校、大学及个人提供服务。 培生发言人表示：“我们近期发现未经授权的攻击者入侵了部分系统。发现异常活动后，我们立即采取措施阻止并聘请取证专家调查事件影响范围，同时配合执法机构调查。已部署额外防护措施，包括增强安全监控和身份验证。当前认为攻击者主要窃取历史遗留数据，将通过适当渠道向客户及合作伙伴通报详细信息。”培生强调失窃数据未包含员工信息。 知情人士透露，攻击者于2025年1月通过公开的.git/config文件中暴露的GitLab个人访问令牌(PAT)入侵培生开发环境。此类本地配置文件通常存储Git项目名称、邮箱等设置，若远程URL中嵌入访问令牌被意外公开，可导致攻击者访问内部代码库。在此次攻击中，暴露的令牌使威胁分子获取公司源代码，其中包含硬编码的云平台凭证与认证令牌。 据称攻击者随后利用这些凭证从培生内部网络及AWS、Google Cloud、Snowflake、Salesforce CRM等云基础设施窃取数TB数据，涉及客户信息、财务记录、支持工单和源代码，数百万用户受影响。当BleepingComputer询问培生是否支付赎金、“遗留数据”具体定义、受影响客户数量及通知计划时，该公司拒绝置评。此前培生在1月披露其子公司PDRI遭入侵，据信与本次攻击相关。 网络安全专家指出，扫描Git配置文件和暴露凭证已成为攻击者入侵云服务的常用手段。去年互联网档案馆（Internet Archive）就因Git配置文件暴露导致GitLab仓库令牌泄露而遭入侵。安全建议包括限制.git/config文件公开访问、避免在远程URL嵌入凭证。培生事件再次印证代码仓库安全管理的重要性。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现iOS游戏《Cats Tower: The Cat Game!》存在数据泄露，该应用使近45万用户面临被黑客追踪、劫持Facebook账户甚至武器化其后端系统的风险。Cybernews团队确认，这款由App Store显示开发商为Rhino Games（隐私政策链接指向亚美尼亚移动游戏公司Next Epic LLC）的游戏，因Firebase配置错误导致以下信息暴露：用户名称、IP地址、Facebook用户ID及访问令牌以及硬编码密钥。 泄露的IP地址虽非精确GPS坐标，但结合其他公开或泄露数据仍可定位用户居住地。尤其危险的是229组Facebook访问令牌，攻击者可借此侵入账户发布加密货币诈骗或向好友发送钓鱼链接。研究人员多次联系相关公司均未获回应。 调查期间，暴露的Firebase实例持续泄露超45万用户的IP与用户名，由于Firebase作为临时数据库会定期与永久后端同步，当前可见数据可能只是冰山一角。技术娴熟的黑客可部署实时爬虫监控数据库，将单次泄露转为持续性监控行动。 更严重的是，该应用代码库中散布着本应对开发团队保密的敏感密钥，包括：客户端ID、反向客户端ID、安卓客户端ID、API密钥、项目ID、存储桶、谷歌应用ID、数据库URL、GAD应用标识符。 这些密钥属于iOS应用中最常泄露的前十类敏感信息。网络安全专家警告，将API密钥等凭证硬编码至发布版应用的行为存在极大风险，攻击者可借此逆向工程整个后端系统，滥用服务收集更多用户数据、伪造请求甚至通过应用基础设施直接发送垃圾信息。 此次泄露事件是Cybernews对App Store中15.6万款iOS应用（约占总量8%）调查的典型案例。研究发现71%的受检应用至少泄露一项密钥，平均每款应用暴露5.2项敏感信息。例如多款热门约会应用泄露的硬编码凭证可访问存有近150万用户照片的云存储桶（含已删除图片、违规内容及私密消息图片）；某家庭位置追踪应用实时泄露GPS坐标；某防骚扰应用泄露拦截号码、关键词及含真实姓名/邮件的客服工单。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国最大音频传媒集团iHeartMedia披露，其旗下多家广播电台于去年12月遭遇网络入侵，导致员工社会安全号码、财务账户信息等敏感数据外泄。尽管该公司已向缅因州、马萨诸塞州与加利福尼亚州提交数据泄露报告，但拒绝向《记录未来新闻》透露受影响人数及遭攻击电台数量。 iHeartMedia发言人称：“我们在少数地方电台的部分系统中发现异常活动后，立即采取措施阻断入侵，启动事件响应流程，并聘请第三方网络安全公司协助调查。同时已向执法部门通报。”泄露通知文件显示，攻击者于12月24日至27日侵入公司系统，访问并窃取存储于地方电台的敏感文件。 经持续至今年4月11日的调查确认，外泄数据包括： 社会安全号码 税号 驾照/护照号码 金融账户信息 健康保险资料 支付卡号 受影响员工将获赠一年期身份保护服务，并可通过专设电话热线咨询。值得注意的是，在提交给缅因州的报告中，iHeartMedia刻意隐去了受害者总数统计项。目前尚无黑客组织宣称对此事件负责。 作为美国音频行业巨头，iHeartMedia运营着870余个广播电台，月均触达2.5亿听众，2023年营收达38亿美元。此次事件发生一周前，另一传媒集团Urban One也披露了2月遭遇勒索攻击导致的员工数据泄露，但同样未公布具体影响规模。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 德克萨斯州阿尔文独立学区（AISD）发生数据泄露事件，导致47,606人的敏感个人信息遭窃。该学区确认漏洞发生于2024年6月，并于本周末启动对受影响人员的通知程序。 泄露数据包括姓名、社会安全号码、州政府签发的身份证件、信用卡/借记卡详细信息、金融账户号码、医疗数据及健康保险信息。德克萨斯州总检察长办公室于2025年5月2日通报了此事件。 勒索软件团伙Fog于2024年7月宣称对此次攻击负责，声称从AISD窃取了60GB数据，并将学区名称公布于其数据泄露网站——这是施压受害者支付赎金的常见手段。AISD尚未证实该团伙的说法，也未披露是否支付赎金。 截至本文撰写时，阿尔文独立学区未回应Infosecurity的置评请求。 Fog自2024年7月开始公布攻击活动，AISD与其首批受害者西阿利斯-西密尔沃基学区和阿斯伯里神学院并列。此后，Fog宣称实施了20起已确认的勒索软件攻击（其中12起针对教育机构）及157起未确认事件，其活动迹象于2025年4月停止。 该团伙以加密文件与窃取数据著称，常瞄准开发环境。尽管Fog多数受害者属教育领域，但其攻击范围不限于学校。 AISD事件是教育行业系统性遭受攻击的缩影。2024年，研究机构Comparitech记录到79起针对美国教育机构的勒索软件攻击，波及超280万条记录，平均赎金要求达82.7万美元。 近期其他校园勒索事件包括： 2025年4月，Medusa向福尔里弗公立学区索要40万美元 同月Qilin攻击西新墨西哥大学 Medusa入侵阿尔比恩学院致6,930人受影响 2024年10月RansomHub攻破南阿肯色大学理工学院 针对哈仙达拉普恩特联合学区的未认领攻击 2025年迄今，美国教育领域已发生15起确认及36起未确认的勒索软件攻击事件。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 今年Verizon《2025年数据泄露调查报告》（DBIR）中最值得关注的并非勒索软件头条或零日漏洞利用，而是推动这些攻击的深层诱因。在诸多严重泄露事件中，两个底层因素持续发挥着作用：第三方暴露与机器凭证滥用。 根据2025年DBIR，涉及第三方的泄露事件同比翻倍（从15%上升至30%）。与此同时，攻击者越来越多地利用机器凭证和未受管控的机器账户获取访问权限、提升特权并窃取敏感数据。 这一趋势传递出明确信号：仅保护内部员工账户已远远不够。要真正抵御现代威胁，企业必须在统一的安全策略下管理所有身份——包括员工、非员工与机器身份。 当前企业生态由承包商、供应商、商业伙伴、托管服务提供商、关联公司等多方交织构成。这些合作关系虽提升效率，也催生了复杂的身份生态系统。若缺乏严格治理，第三方身份将成为攻击者伺机利用的盲点。 与第三方访问相关的泄露通常源于糟糕的生命周期管理，例如项目结束后未停用承包商账户，或商业伙伴账户权限过度宽松。2025年DBIR指出，这一趋势正在加速且跨行业蔓延——医疗、金融、制造业和公共部门均报告了由第三方暴露引发的重大事件。 企业须以管理内部员工的同等严格标准，将身份治理扩展至非员工群体，确保对所有第三方用户的可视性、责任归属与及时账户停用。 尽管人类身份依然脆弱，机器身份的风险增长更为迅猛。服务账户、机器人流程自动化（RPA）、AI代理、API接口等“数字劳动力”数量激增，却普遍缺乏明确归属与监管。随着AI代理的普及，机器身份的增长速度与复杂程度将远超企业当前管理能力。 2025年DBIR发现，基于凭证的攻击仍是主要初始入侵手段，攻击者正日益瞄准未受管控的机器账户作为突破口。未受保护的机器账户直接关联多起重大泄露与升级的勒索软件攻击。 风险持续加剧，但多数传统身份安全工具仍将机器视为次要对象。因此，企业必须摒弃临时性机器管理措施，转向专为规模化与自动化设计的治理模型。欲深入了解该问题，可参阅白皮书《谁在守护机器身份？》。 碎片化身份治理已不再是弱点，而是重大责任。若将员工、第三方用户和机器身份（如果存在管理）分别置于孤立系统中管理，攻击者将获得足以渗透的裂缝——他们无需攻破所有防线，只需找到一个突破口。 与第三方用户和机器账户相关的泄露事件增速已超过内部员工泄露，这一现象明确警示：不一致的治理模式正在催生新漏洞。现实在于：身份即身份。无论是人类、非员工还是机器身份，都必须在统一策略下实施妥善管理、治理与保护。 能在未来威胁中存活的企业，并非那些试图拼凑解决方案的机构，而是意识到“全域身份统一治理”是唯一出路的主体。通过整合员工、承包商、合作伙伴、服务账户、机器人与AI代理的身份安全，企业方能填补关键防御缺口、提升可视性，并在关键时刻强化安全壁垒。 SailPoint通过专为复杂企业环境设计的解决方案（以SailPoint Atlas平台为支撑），帮助企业实现全域身份安全。无论您需要管理机器身份还是管控非员工访问，SailPoint提供的统一身份安全体验能将身份混乱转化为清晰防线。 人类与机器身份间的安全鸿沟正在扩大。是时候主动弥合这一缺口了——否则攻击者将替您完成此事。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国福利与薪资解决方案提供商Kelly Benefits（正式名称为Kelly & Associates Insurance Group）近日披露，其此前公布的数据泄露事件影响范围远超最初估计。 这家总部位于美国的公司为企业提供福利管理、薪资处理及劳动力管理解决方案。 2024年12月12日至17日期间，黑客入侵Kelly Benefits系统并窃取敏感个人数据。该公司最初于2025年4月通报称，事件影响近26.4万人，涉及CareFirst、Guardian、Beam Benefits等客户，泄露数据包括姓名、社保号（SSN）、医疗及财务信息。目前受影响人数已升至413,032人，调查仍在进行中。 根据向缅因州总检察长办公室提交的更新文件，Kelly Benefits于2025年5月2日代表其自身及附录A所列实体，向该州额外135名居民寄送通知信。新增受影响者的潜在泄露信息包括姓名、社保号及财务账户信息。至此，缅因州共有7,164名居民收到事件通知。 Kelly Benefits未透露攻击技术细节，目前尚无勒索软件组织宣称对此次入侵负责。该公司正代表CareFirst、Guardian、Beam Benefits等多个客户向受影响个体发送通知。     消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 欧洲知名求职平台beWanted发生重大数据泄露事件，超110万份求职者简历及敏感信息通过未加密的Google云存储桶（GCS）暴露于公网。网络安全媒体Cybernews研究团队于2023年11月发现该漏洞，但多次联系总部位于西班牙马德里的beWanted公司后，数据仍可公开访问。 泄露数据包含： 全名、电话号码、邮箱及家庭住址 出生日期、国籍及出生地 身份证号码（涉及西班牙、阿根廷、危地马拉、洪都拉斯等多国公民） 社交媒体链接、工作经历及教育背景 研究人员指出，每份文件可能对应一名求职者，此次泄露构成重大安全事件。数据至少暴露六个月，网络犯罪分子可能已利用其发起： 身份盗用：伪造合成身份或欺诈账户 精准钓鱼攻击：诱骗受害者泄露金融账户或敏感数据 社交工程攻击：冒充虚假招聘机构渗透职业网络，传播恶意软件或窃取机密 尽管Cybernews已联系beWanted寻求置评，但截至发稿未获回复。该公司自称“全球最大人才库生态”，通过SaaS模式连接求职者与雇主，在墨西哥、德国及英国设有分支机构。 研究团队提出以下防护措施以缓解风险： 限制公开访问：关闭存储桶公共权限，启用“公开访问预防”功能 实施访问控制：基于最小权限原则，仅向授权用户和服务分配必要权限 监控访问活动：启用云审计日志追踪存储桶访问，配置云监控警报响应可疑行为 启用数据加密：激活服务器端静态数据加密，使用Google云密钥管理服务（KMS） 强制安全传输：要求所有数据传输使用SSL/TLS协议，拦截非安全HTTP连接 采纳最佳实践：定期执行权限与配置安全审计，利用Google云安全指挥中心自动化评估 此次事件再次凸显云存储配置失误的破坏力。求职者需警惕异常招聘邀约，企业应强化云环境安全基线，避免成为下一个受害者。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 媒体集团Urban One近日报告了一起数据泄露事件，涉及员工及其他人员的个人信息。根据向得克萨斯州和马萨诸塞州提交的违规通知信，这家总部位于马里兰州的公司表示，网络攻击始于2月13日，系通过”复杂的社会工程攻击”实施。 攻击者成功窃取公司数据，但公司直到3月15日才发现该事件。事件未影响公司运营，但截至3月30日的取证调查确认数据已被窃取。泄露信息包括：姓名、地址、社会保险号、直接存款信息及W-2税务信息。该公司未回应置评请求，但报告得克萨斯州有355人受影响。 受影响人员将获得两年信用监控服务，事件已通报执法部门。Urban One是面向非裔社区的最大媒体公司，运营多个电视频道、数十家广播电台及新闻网站。该公司2024年营收约4.5亿美元，此前曾在2019年向加州监管机构报告过涉及1000多个社会保险号的数据泄露事件。 Cactus勒索软件团伙于3月12日宣称对此次攻击负责。该组织于2023年出现，最初因通过在线广告分发恶意软件感染目标而被微软曝光。其攻击记录包括：全球最大温控仓库房地产投资信托Americold、瑞典大型连锁超市、洛杉矶市住房管理局及法国跨国企业施耐德电气。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 员工福利管理公司VeriSource Services发出警告称，一起数据泄露事件暴露了400万人的个人信息。 VeriSource总部位于美国得克萨斯州，是一家为全美各行业客户提供员工福利管理和人力资源外包解决方案的服务商。 该公司已于近期向受影响个体发送数据泄露通知，涉及2024年2月发生的网络安全事件。然而，其影响范围直到2025年4月才完成评估。 根据VeriSource的调查，该事件导致敏感信息被外部威胁行为者获取。 公司在向监管机构提交的通知中表示：“2024年2月28日，VSI（VeriSource）发现异常活动导致部分系统访问中断。我们立即采取网络加固措施，并聘请领先的第三方数字取证和事件响应公司调查事件经过及数据影响范围。” 调查显示，未知攻击者可能于2024年2月27日前后未经授权获取了部分个人信息。 确定受影响个体的流程于2025年4月17日完成，数据泄露通知于4月23日发出。 根据VeriSource向缅因州总检察长办公室提交的样本，泄露数据类型包括员工全名、住址、出生日期、性别和社会安全号码（SSN）。该公司现为受影响者提供12个月的信用监测、身份保护和身份恢复服务。 需特别说明的是，VeriSource曾于2024年5月向5.5万人、9月向11.2万人发送过通知，但远低于此次披露的400万总量。 若收到通知（即便存在延迟），建议立即启用提供的信用保护服务，并警惕钓鱼攻击。 BleepingComputer核查发现，当前勒索网站尚未出现VeriSource相关条目，因此该网络安全事件的具体性质仍不明确。       消息来源： bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软Defender XDR错误将合法的Adobe Acrobat云服务链接标记为恶意链接，导致用户通过ANY.RUN沙箱平台公开上传了超过1,700份敏感文档。 ANY.RUN是一个交互式在线沙箱分析平台，允许用户在受控环境中运行可疑文件或链接以检测恶意软件。该平台明确警告免费版用户：所有上传文件将默认公开。 ANY.RUN在声明中表示：“我们观察到大量Adobe Acrobat云服务链接（acrobat[.]adobe[.]com/id/urn:aaid:sc:）被突然上传至沙箱。经调查发现，微软Defender XDR误将该域名标记为恶意。这导致免费用户以公开模式上传了上千份含企业敏感数据的Adobe文件。” 尽管ANY.RUN已将相关分析设为私有以防止泄露，但用户仍在持续公开分享机密文档。该公司建议用户在处理工作相关任务时购买商业许可证以确保隐私合规。 除ANY.RUN外，VirusTotal等恶意软件分析平台也允许用户上传可疑文件，可能导致数据无意泄露。 网络安全社区对ANY.RUN的“误导性声明”表示不满。有Reddit用户指出，该平台首页标注“创建免费账户”并声称“可保持上传与分析内容私有”，但实际条款中免费版数据默认公开。 用户评论：“当用户专注于分析恶意软件时，很容易忽略这类‘看似明显’的警告——如果真这么明显，就不会有这么多人出错了。” 专家建议：用户应仔细核查沙箱平台的隐私政策与设置，或彻底避免上传任何敏感数据。     消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文