Bleeping Computer 网站披露，波多黎各大学（UPR）一学生 Iván Santell-Velázquez 因入侵多个女同学电子邮件和 Snapchat 账户盗取信息，被判 13 个月监禁。 7 月 13 日，Iván Santell-Velázquez承认了对 100 多名学生进行过网络犯罪。美国检察官穆尔德罗表示，该名学生主要采用网络钓鱼和欺骗计划窃取受害者信息，之后用”偷来“的”果体“照片骚扰了许多妇女，甚至还公布了一些照片。 值得一提的是，Iván Santell-Velázquez 除了针对几十个学生的电子邮件账户，还成功入侵了多个大学的电子邮件账户，并使用欺骗和网络钓鱼攻击等方式收集个人信息。 2019 年至 2021 年期间，Santell-Velázquez 入侵了几个女学生的 Snapchat 账户，并窃取了大量”果体“照片，随后将这些照片在与他人分享并上传到网上。 此外，他利用从一名受害者 Snapchat 账户中窃取的”果体“图片，对其她进行骚扰，甚至还在 Twitter 和 Facebook 上分享了受害者”果体“照片。 受害者名单中包括 15 名 UPR 女学生 Iván Santell-Velázquez 的认罪文件上显示，受害者名单包括了 15 名波多黎各大学的女学生。联邦调查局主管特工 Joseph González 强调，网络跟踪可能会对受害者产生及其重大的负面影响，受害者可能会产生自杀意念、恐惧、愤怒、抑郁，以及创伤后应激障碍等负面情绪。 最终，美国地区法院法官 Silvia Carreño Coll 以网络跟踪罪判处 Iván Santell-Velázquez 13 个月监禁。 其它类似案件 今年 6 月，一名加州男子入侵数千个苹果 iCloud 账户，最终因计算机欺诈罪被判监禁 8 年。在被抓获之前，该男子未经授权访问了数百个美国受害者的iCloud账户，并在云端和物理存储中窃取了 500 多名受害者信息，其中包含部分”果体“照片和视频。 转自 Freebuf，原文链接：https://www.freebuf.com/articles/network/346999.html 封面来源于网络，如有侵权请联系删除

据The Verge报道，超快速时尚品牌Shein和Romwe背后的公司将向纽约州支付190万美元，因为数据泄露影响了数百万客户。罚款源于对Zoetop公司的指控，即该公司未能保护客户的数据，没有适当地通知客户数据泄露，并试图对泄露的程度保持沉默。 罚款是在司法部长办公室对2018年的一次黑客攻击进行调查后作出的，其中信用卡和个人信息，如姓名、电子邮件和哈希密码被盗。该数据泄露事件影响了3900万Shein和700万Romwe账户，包括属于纽约人的80多万个账户。 据OAG称，在Zoetop得知黑客攻击后，该公司只联系了部分受影响的客户，没有为任何账户重置密码。对于3250万个Shein账户，Zoetop没有提醒用户他们的登录信息已被暴露。该公司还被指控虚报数据被盗的客户数量，并说它没有证据表明信用卡信息被盗。 两年后，在Zoetop在暗网上发现据信来自2018年黑客攻击的客户登录信息后，Romwe的客户被告知有数据泄露。当Zoetop最终在2020年12月为所有Romwe客户重新设置密码时，调查发现它告诉客户他们的密码在一年内没有被更改后就过期了。次年2月，它用一条不同的信息取代了这一信息，只说：“我们发现了可疑的活动，请核实您的身份，以便恢复您的账户。” OAG的调查还发现，Zoetop在黑客攻击时“未能保持合理的安全措施”，包括使用不充分的密码管理系统，以及未能监测安全问题或在发生网络攻击时有一个全面的计划。 该电子商务网站深受世界各地年轻人的欢迎，以最低的价格不断推出服装和配件。据Politico报道，Shein今年的估值超过1000亿美元。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1326527.htm 封面来源于网络，如有侵权请联系删除

丰田汽车公司警告客户，在一个访问密钥在GitHub上公开近5年后，他们的个人信息可能被意外曝光。 丰田发现，其T-Connect网站的部分源代码被错误地发布在GitHub上。T-Connect是该公司开发的一个应用程序，允许车主控制车辆的信息娱乐系统并监控车辆的访问情况。该代码还包含了存储客户信息的数据服务器的访问密钥，如电子邮件地址和管理号码。源代码是由一个开发分包商泄露的。 一个未经授权的第三方可能在2017年12月至2022年9月15日期间获得了丰田客户的详细信息。受影响的客户数量为296,019人，GitHub存储库在2022年9月受到限制，密钥被更改。暴露的记录包括客户姓名、信用卡数据和电话号码没有被泄露，因为它们没有存储在暴露的数据库中。虽然没有数据被盗用的迹象，但不能排除有人访问和盗用数据的可能性。 该公司发布的通知中写道：”作为安全专家调查的结果，虽然我们不能根据存储客户电子邮件地址和客户管理号码的数据服务器的访问历史确认第三方的访问，但同时我们也不能完全否认。”该公司宣布，将单独向受影响的客户发送道歉和通知。此外，丰田还在其网站上设置了一个特殊的表格，让客户检查他们的数据是否被暴露。 在2017年7月至2022年9月期间注册的T-Connect用户可能会暴露在欺诈活动中，包括诈骗。该汽车制造商建议客户对潜在的骗局保持警惕。该公司没有发现任何滥用其客户个人信息的情况。 目前，丰田方表示还没有证实任何与此事有关的未经授权的个人信息使用，但有可能是利用电子邮件地址发送 “欺骗 “或 “钓鱼诈骗 “等垃圾电子邮件。如果客户收到一封发件人或主题不明的可疑电子邮件，存在病毒感染或未经授权访问的风险，所以请不要打开电子邮件所附的文件，并立即删除电子邮件本身。”此外，在访问电子邮件中描述的地址（URL）时，请小心。请密切注意以下内容。” 转自 E安全，原文链接：https://mp.weixin.qq.com/s/z01RNYGa_lLO52rf0S4a4w 封面来源于网络，如有侵权请联系删除

暗网市场 BidenCash 近日公开了超过 120 万信用卡用户细节。援引国外科技媒体 BleepingComputer 报道，这些泄漏的信息包括卡号、过期时间、CVV 号码、卡片持有人名称、银行名称、卡片类型、家庭住址、电子邮件地址、身份证号码和手机号码等等。这些信息足以让网络犯罪分子进行财务欺诈和身份盗窃。 这些泄露的信用卡持卡人主要来自美国，此外还有来自印度、巴西、英国、墨西哥、澳大利亚、西班牙和中国。其中大部分信用卡的有效期到 2023 年，有些甚至到 2026 年。 此次泄密似乎是 BidenCash 在其此前商店域遭受分布式拒绝服务（DDoS）攻击后对其新商店域的促销活动。为了确保更广泛的范围，网络犯罪分子通过公共网络域以及各种黑客和卡片论坛分发 URL。 像这样的暗网信用卡转储通常是骗局，因为其他信用卡转储仅包含虚假数据或以新名称打包的旧转储中的回收数据。然而，网络安全公司 D3Labs 证实，大约 30% 的信用卡是有效的，这意味着大约 350,000 张信用卡仍然有效。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1325831.htm 封面来源于网络，如有侵权请联系删除

2K确认最近的黑客攻击导致一些玩家的个人信息被窃，被发布出来出售。今年9月，2K称其客户服务可能被盗用，警告那些可能受影响的玩家更改他们的密码。2K当时解释说，一个第三方非法访问了该公司使用的帮助台平台的其中一个供应商凭证，然后访问了客户的机密信息，并向一些玩家发送了恶意链接。 10月6日，2K开始联系那些信息被窃取并被出售的客户。 该公司解释说：“未经授权的第三方访问并复制了您向我们寻求支持时记录的一些个人数据，包括您的电子邮件地址、帮助台ID号、玩家标签和控制台详细信息。没有迹象表明我们系统中保存的任何您的财务信息或密码被泄露。 然而，出于谨慎考虑，我们鼓励所有玩家重新设置密码，如果他们还没有这样做的话，我们鼓励他们通过启用多因素认证来保护自己的账户。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1325631.htm 封面来源于网络，如有侵权请联系删除

据Bleeping Computer 10月9日消息，英特尔已向知名硬件网站Tom’s Hardware确认了其第十二代酷睿处理器Alder Lake 的UEFI BIOS 源代码已经泄露。 英特尔表示：“我们的专有 UEFI 代码似乎已被第三方泄露，但我们认为这不会暴露任何新的安全漏洞，因为我们不依赖混淆信息作为安全措施。此代码包含在我们的漏洞赏金计划“Project Circuit Breaker活动中，我们鼓励任何可能发现潜在漏洞的研究人员通过该计划与我们取得联系。我们正在与客户和安全研究社区联络，让他们了解事件情况。” 10月7日，名为“freak”的 Twitter 用户发布了据称是英特尔 Alder Lake 的 UEFI 固件源代码的链接，并声称该固件是由 4chan 提供。该链接指向名为“ICE_TEA_BIOS”的 GitHub 存储库，该存储库由名为“LCCFCASD”的用户上传。其描述称“来自 C970 项目的 BIOS 代码”，总大小 5.97 GB，包括源代码、私钥、日志和编译工具，最新的时间戳显示是 2022 年 9 月 30 日，可能是黑客或内部人员复制了数据。 泄露的 Alder Lake BIOS 源代码 BleepingComputer 被告知，所有源代码都是由 UEFI 系统固件开发公司 Insyde Software Corp 开发。但泄露的源代码还包含大量关于联想公司的引用内容，包括联想字符串服务、联想安全套件和联想云服务集成代码。 目前尚不清楚源代码是在网络攻击期间被盗还是被内部人员泄露。 尽管英特尔淡化了源代码泄漏的安全风险，但安全研究人员警告称，这些内容可以更容易地发现代码中的漏洞。硬件安全公司Hardened Vault认为，即使被泄露的OEM只部分用于生产中，攻击者及漏洞猎手也能从中找出破绽，比如Insyde解决方案漏洞，并能轻松进行逆向工程，这将长期增加用户的使用风险。 Positive Technologies 硬件研究员 Mark Ermolov 也警告称，泄露的内容包括一个用于保护英特尔 Boot Guard 平台的私有密钥KeyManifest，如果该私钥用于实际生产，攻击者可能会利用它来修改英特尔固件中的启动策略并绕过硬件安全性。 BleepingComputer 已联系英特尔、Insyde 和联想，询问有关泄漏以及私钥是否在生产中使用的相关问题。   转自 Freebuf，原文链接：https://www.freebuf.com/news/346409.html 封面来源于网络，如有侵权请联系删除

10月7日消息，据外媒报道，丰田汽车本周五表示，其发现T-Connect服务中296019条客户信息疑遭泄露，包括电子邮件地址和客户号码。据了解，T-Connect是一种通过网络连接车辆的远程信息服务，受影响的客户是自2017年7月以来使用电子邮件地址注册该服务网站的个人用户。 产生泄露的原因很简单：从2017年12月到今年9月15日，开发T-Connect网站的承包商不小心上传了部分带有公共配置的源码。 丰田在声明中称，用户的姓名、电话号码或信用卡信息等敏感个人信息不可能被泄露，根据安全专家的调查，无法从存储信息的数据服务器的访问历史中确认是否存在第三方访问。 但与此同时，该公司还补充称，“不能完全排除”第三方访问的可能性。 此次信息泄露无法被证实是否会被滥用，但用户可能会受到垃圾邮件、网络钓鱼和未经请求的电子邮件，各位丰田车主在受到类似信息后，切记多留个心眼，避免上当受骗。   转自 快科技，原文链接：https://news.mydrivers.com/1/863/863781.htm 封面来源于网络，如有侵权请联系删除

暴露数据为COVID抗原检测结果，受害者人数超过170万，涉及印度、美国、加拿大等多国公民； 具体数据包括姓名、详细地址、电话、Aadhaar医保编号、护照编号、基础疾病情况等敏感个人信息； 研究员将暴露情况告知该公司，但一周后该公司既未回复也未处理，相关数据库仍可访问，体现了极不负责任的态度。 安全内参9月26日消息，印度一家医疗软件提供商的Elasticsearch服务器被发现暴露在互联网上，其中存储了过去几年来往返于印度各地的众多印度及外国人的COVID抗原检测结果。 值得注意的是，这些测试结果来自Covi-Catch快速抗原试剂盒。Covi-Catch是印度医学研究委员会（ICMR）批准上市的COVID-19自我检测试剂盒。 知名独立安全研究员Anurag Sen发现了此次事件。糟糕的是，目前该服务器仍然保持公开，无需任何安全身份验证或密码即可直接访问。据悉，该服务器的最初暴露时间是2022年7月2日。 Anurag当时正在搜索网站Shodan上检索错误配置的数据库，并注意到有一台公开暴露的服务器，正向公众敞开23 GB数据。Anurag表示，该服务器属于一家位于印度哈里亚纳邦古尔冈的企业，但由于目前暴露问题仍未解决，所以本文暂不公开其具体名称。 暴露了哪些数据？ Anurag对服务器的分析结果显示，暴露的记录实际是COVID抗原检测结果，而且事件受害者人数超过170万。其中不仅包括个人记录，还有往来人士的医疗记录，具体涉及： 性别 全名 国籍 出生日期 完整地址 电话号码 投票ID编号 COVID测试结果 Aadhaar医保编号 护照编号 基础疾病情况 疫苗详细情况（疫苗类型、是否接种） 还有更多…… 截图显示，暴露的记录涉及美国、加拿大和印度公民 该公司未做任何回应处理 Anurag已经通过网站上的电子邮件地址联系了相关公司，但一个多星期过去，对方未做任何回应。截至目前，该服务器仍持续暴露在外。 将用户敏感数据暴露给网络犯罪分子当然离谱，毫不理会研究人员提醒、坐视混乱事态则进一步凸显出该公司不负责任的态度。 事件将造成哪些影响？ 目前还不清楚是否有恶意第三方已经访问到该数据库，例如勒索软件团伙或其他恶意黑客。如果已经访问，受害者及作为该服务器所有方的医疗保健公司将面临毁灭性的威胁。 此外，考虑到暴露数据的范围和性质，此次事件还可能产生深远影响。例如不法分子可能会下载数据，借以实施网络钓鱼欺诈或其他涉及身份盗窃的诈骗活动。 如果要求未能得到满足，恶意黑客可以操控该服务器或数据以索取赎金，并将信息泄露至网络犯罪论坛。一旦事态恶化到这一步，将个人信息放心交给印度当局的出行人士将沦为受害者。 转自 安全内参，原文链接：https://www.secrss.com/articles/47384 封面来源于网络，如有侵权请联系删除

继澳大利亚历史上最大的数据泄露事件之一之后，澳大利亚政府正在计划对网络攻击的披露要求展开更严格的审查。当地时间周一，该国总理安东尼·阿尔巴尼斯告诉澳大利亚广播电台4BC，政府打算全面修订隐私法，以要求任何遭受数据泄露的公司跟银行分享可能受到影响的客户的详细信息从而来减少欺诈。 根据目前的澳大利亚隐私立法，公司不得跟第三方分享有关其客户的这些细节。 该政策则是在上周发生巨大的数据泄露事件后宣布的，据悉，该事件影响了澳大利亚第二大电信公司Optus。黑客们设法获取了多达980万Optus客户的大量潜在敏感信息–接近澳大利亚人口的40%。泄露的数据包括姓名、出生日期、地址、联系信息及在某些情况下驾驶执照或护照的身份证号码。 ABC News Australia的报道显示，此次泄露可能是由于Optus开发的API安全不当。据悉，Potus此举则是为了符合为用户提供多因素认证选项的规定。 一个自称是Optus黑客的人在跟安全记者Jeremy Kirk的交谈中似乎证实了这一数据泄露的说法。根据这位被认为是黑客的人向Kirk提供的细节，下载数据的方法是按顺序查询API中标有“contactid”字段的每个值并逐一记录每个用户的信息，直到汇集成数百万条记录的数据集。 同一个人在一个流行的黑客论坛上发了一个帖子，其称以15万美元的价格出售用户数据，另外还列出了100万美元的勒索价格以保持数据的私密性–以Monero加密货币支付。该黑客还发布了一些免费的“样本文件”，他们说称这些文件包含1万名Optus用户的完整地址信息。 随着事态的发展，许多Optus客户在社交媒体上对黑客的处理方式表示不满，特别是在通知受影响的用户他们的数据面临风险方面。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1321095.htm 封面来源于网络，如有侵权请联系删除

据埃菲社智利圣地亚哥22日报道，智利武装部队参谋长联席会议主席吉列尔莫·派瓦将军在包括敏感的国家安全信息在内的大量电子邮件泄露后，于9月22日辞职。 报道称，派瓦辞职的消息得到了几家当地媒体的证实。在此之前，一个黑客组织利用安全漏洞，公布了40多万封参谋长联席会议的电子邮件，其中包括被列为“保密”、“机密”和“最高机密”的文件。 报道指出，这一事件的性质非常严重，甚至直接导致智利国防部长玛雅·费尔南德斯被迫暂停陪同总统出访纽约，紧急返回国内处理这场影响到武装部队所有部门的危机。 智利政府声称，鉴于诸多事实表明参谋长联席会议的电子邮件系统遭遇安全事件，总统已指示国防部长紧急回国，以领导相关部门针对上述事件采取应对举措。 报道称，除了将相关信息移交给军事司法系统以启动刑事调查外，智利政府还下令展开行政调查，以明确相应的责任方。 与此同时，智利国会也已经采取行动，其国防委员会已经召集了国防部长、副部长以及武装部队参谋长联席会议主席，以确定泄密信息所涉及的范围。 据调查，被泄露的文件包括网络安全、通信和边境监测数据，以及关于情报和卫星监测系统的敏感信息等。 转自 安全内参，原文链接：https://www.secrss.com/articles/47277 封面来源于网络，如有侵权请联系删除