5月14日，欧洲消费者组织BEUC警告称谷歌收购Fitbit会改变数字健康市场的游戏规则，可能会损害消费者利益，同时阻碍创新。在近日电子前沿基金会（EFF）发布的公开信中，该机构也持相同的观点，希望能够阻止谷歌收购Fitbit，并希望得到之前已购买Fitbit产品用户的支持。 更具体来说，EFF认为只有Fitbit的用户才能帮助阻止这次收购，并向Fitbit用户发出了灵魂拷问。EFF问道：“你购买Fitbit产品的原因之一是不是不愿意向谷歌分享更多的数据？谷歌收购Fitbit是否让你有种无法逃脱谷歌数据收集魔爪的感觉？” EFF表示科技巨头并不一定会投资创新，而是更喜欢收购能够为创新加油的公司。EFF表示：“谷歌的两个标志性项目搜索和Gmail都是内部项目，但其他绝大多数产品的成功都是收购自其他公司。” EFF继续说道：“现在谷歌正尝试在Fitbit旧戏重演，这会让这家占主导地位的可穿戴健身追踪公司消失进入Googleplex中，而其中会收集大量用户的敏感数据。” 谷歌于去年11月官宣了这笔交易，通过收购Fitbit，谷歌试图在竞争激烈的健身追踪器和智能手表市场上与苹果和三星一较高下。在这一领域，华为和小米也是主要竞争者。 然而，批评人士表示，收购Fitbit将使这家美国科技巨头获得大量的健康数据。这些数据来自于Fitbit的健身追踪器和其他用于监控用户日常步数、卡路里消耗和行驶距离的设备。   （稿源：cnBeta，封面源自网络。）

外媒ZDNet获悉，梅赛德斯-奔驰货车上安装的“智能汽车”零部件源代码上周末在网上泄露。而在泄密事件发生之前，瑞士软件工程师Till Kottmann发现了一个属于戴姆勒公司(Daimler AG)的Git门户网站。戴姆勒是一家德国汽车公司，旗下拥有梅赛德斯-奔驰汽车品牌。 Kottmann告诉ZDNet，他可以在戴姆勒的代码托管门户上注册一个帐户然后下载580多个Git存储库，其中包含了梅赛德斯奔驰货车上安装的车载逻辑单元(OLU)的源代码。 什么是OLU？ 根据戴姆勒的网站，OLU是介于汽车硬件和软件之间的一个组件，它负责将车辆连接到云端。 戴姆勒表示，OLU简化了对实时车辆数据的技术访问和管理并允许第三方开发人员创建从奔驰货车检索数据的应用程序。 这些应用程序通常用于跟踪货车在路上的情况、跟踪货车的内部状态或用于冷冻货车以防盗窃情况发生。 不安全的GitLab安装泄漏了OLU代码 Kottmann告诉ZDNet，他发现戴姆勒的GitLab服务器使用了一些简单的东西如Google dorks（专门的Google搜索查询）。 GitLab是一个基于web的软件包，各大公司用它来集中处理Git存储库。 Git是一种专门用于跟踪源代码更改的软件，它允许多人工程团队编写代码，然后将代码同步到一个中央服务器–在本例中则是戴姆勒基于Gitlab的网页门户。 Kottmann告诉ZDNet：“当我感到无聊的时候，我经常会寻找有趣的GitLab实例，大多数情况下都是使用简单的Google dork，对于几乎没有考虑到安全设置这件事一直让我感到惊讶。” Kottman表示，戴姆勒未能实施账户确认流程，而这使其能使用一个不存在的戴姆勒公司电子邮件在公司的官方GitLab服务器上注册一个账户。 这位研究人员称，他从公司的服务器上下载了超580个Git存储库，他计划在周末将其公开并将文件上传到文件托管服务MEGA、Internet Archive和他自己的GitLab服务器等几个地方。 针对这一情况，ZDNet审查了一些泄漏的Git存储库。他们查看的文件中没有一个包含开源许可，这表明这这些文件都是不应该公开的专有信息。 泄露的项目包括梅赛德斯厢式货车OLU组件的源代码，另外还有树莓派图像、服务器图像、用于管理远程OLU的戴姆勒内部组件、内部文档、代码样本等等。 虽然一开始泄露的数据看起来无害，但负责审查数据的威胁情报公司告诉ZDNet，他们发现了戴姆勒内部系统的密码和API令牌。如果这些密码和访问令牌落到一些怀有坏心思的人手中则可能会被用来计划和发动针对戴姆勒云计算和内部网络的入侵。 现在，ZDNet和Under the Breach都已经跟戴姆勒公司取得了联系，该公司已经从GitLab服务器下载了这些数据。不过戴姆勒发言人没有回复记者的正式置评请求。 Kottmann告诉ZDNet，他打算把戴姆勒的源代码留在网上，直到该公司要求他删除源代码。 然而，关于Kottmann行为的合法性仍存在一些疑问，因为他没有在周末在线发布源代码之前试图通知公司。 而另一方面，GitLab服务器允许任何人注册一个帐户，有些人可能会将其解释为一个开放的系统。此外，ZDNet在今日早些时候审查的源代码并没有出现这是专有技术的警告。     （稿源：cnBeta，封面源自网络。）

比特梵德实验室的一支研究团队，刚刚曝光了一款名叫 Mandrake 的 Android 恶意软件。自 2016 年以来，它就一直在窃取用户的数据。Bitdefender 指出，其行为与大多数常见的威胁有所不同。Mandrake 并不致力于感染更多的设备，而是希望从用特定用户手上榨取更多的数据。从这一点来看，这款恶意软件在挑选受害者时，还算相当“挑剔”的。 与现实世界中的生物病毒一样，高传染性意味着更容易被发现。Mandrake 极力在隐藏自己，对特定受害设备的数据窃取利用到了极致。 实际上，根据 BitDefender 的深入分析，可知这款恶意软件被明确指定不得攻击某些地区的用户，包括前苏联、非洲和中东。澳大利亚被高度针对，美国、加拿大和某些欧洲国家也出现了很多感染案例。 Mandrake 于今年早些时候被首次发现，但其历史可追溯到 2016 年。据估计，当时该病毒已感染成千上万的设备，但最近一轮又扩散到了数十万人。 之所以谷歌 Play 商店迟迟未能揪出这款恶意软件，是因为 Mandrake 并未直接将这部分内容包含在程序本体。只有在接到指示之后，才会开启加载恶意行为的过程。 如此一来，它便能够避免被谷歌在早期筛查中发现。一旦将有效负载置于设备上，恶意软件便可立即窃取任何想要的数据，包括网站和应用的登陆凭据。 Mandrake 甚至可以重绘屏幕上的内容，意味着即使受害者看到了“完全正常”的页面、实际上却是在向恶意软件的幕后主使授予权限和相关数据。 Bitdefender 威胁研究和报告主管 Bogdan Botezatu 称之为“迄今为止最强大的 Android 恶意软件之一”，其最终目标是完全控制设备并染指用户账户。 为了不被发现，多年来 Mandrake 已经在谷歌 Play 商店里通过各种明目进行了传播，以及使用不同的开发者名称来打造诸多全新的应用。 此外为了给维持用户眼中“可信赖”的错误印象，开发者对“正经功能”的反馈响应也很是积极，甚至某些 App 还有与之关联的社交媒体活跃账号。 然而一旦恶意软件收集到了所有的数据，它便能够从设备上完全擦除自己的痕迹，导致用户根本不知道自己都经历了什么。 有鉴于此，我们还是建议大家尽量留意开发者的信誉是否良好，且不要通过不靠谱的平台去下载 App 。   （稿源：cnBeta，封面源自网络。）

5月12日消息，据国外媒体报道，受新冠疫情影响，视频会议需求大增，而其中最大的受益者包括视频会议软件公司Zoom。虽然，该公司目前风头正盛，但它也被曝光了很多问题，比如侵犯隐私问题。 加州众议员杰里·麦克纳尼（Jerry McNerney）和其他人对收集到的关于注册用户和非注册用户的信息、Zoom用户可能存储在云中的通信记录表达了担忧。 当地时间周一，美国联邦贸易委员会（FTC）主席约瑟夫·西蒙斯（Joseph Simons）表示，该机构正在调查有关Zoom的隐私投诉问题。 除了隐私问题外，Zoom还存在一些其它的负面新闻，比如，谷歌以担心安全性为由，禁止员工在电脑上安装和使用Zoom，超50万Zoom账户信息在暗网售卖等等。 随着视频会议需求大增，Zoom的用户人数也迅速增长。此前，该公司宣布，它已拥有3亿日活跃用户，较4月初的2亿活跃用户增长约50%。但后来，该公司又纠正了具有误导性的说法，承认自己并没有3亿日活跃用户，而是“每天有3亿个Zoom会议参与者”。 此外，由于视频会议需求大增，Zoom选择甲骨文作为其关键的云基础设施提供商，以增加其云计算能力。   (稿源：网易科技，封面源自网络。）

过去几周内的黑客活动因疫情隔离的影响变得更加活跃，索尼顽皮狗《最后的生还者2》泄密也被认为是黑客所为。隔壁任天堂在此前NNID账户被盗之后近日又被不法者盯上，导致了Wii主机的完整源码/设计方案和N64技术演示流出，可以说已经成为任天堂史上最大规模的泄露案件。 根据ResetEra论坛上的汇总，所有的数据都直接从一家和任天堂合作的公司内部窃取。BroadOn在Wii的硬件和游戏上和任天堂都有过交互合作，通过攻击BroadOn服务器黑客获得了Wii主机的所有源代码、数据表、设计框图以及每一个配件的Verilog文件（Verilog是一种硬件描述语言，通过代码文本来描述硬件结构和行为）。 除了Wii和N64的主机相关资料外，本次任天堂被泄露的还有大量《宝可梦》相关档案，包括了《宝可梦黄/蓝》、《宝可梦金/银》的调试版本和源码、《宝可梦日月/终极日月》的调试版本等。 鉴于Wii主机的档案属于商业机密，任天堂和BroadOn显然会付诸法律行动。尽管泄露出来的内容都已经过时，但从规模和性质上来讲，这都称得上是任天堂游戏史上性质最恶劣的黑客攻击。   （稿源：cnBeta，封面源自网络。）

据外媒AppleInsider报道，目前，苹果和谷歌正在与德国和法国官员就iOS系统的安全技术问题以及如何存储接触者追踪数据的问题展开“对峙”。这两家科技巨头在4月10日宣布了一项联合倡议，将开发一个跨平台、系统级的接触者追踪框架–这种方法可以追踪并可能缓解COVID-19的传播。全球各国都在探索类似的技术，但欧洲的几个国家正在与苹果和谷歌就如何去做这件事产生分歧。 据路透社报道，由于苹果和谷歌周五拒绝了法国和德国的要求，要求他们支持自己国家的努力，或者放宽这两家科技公司正在构建的严格的隐私限制，因此，关于接触者追踪隐私问题的紧张对峙在周五升级。 这场对峙是由两大因素引发的。其一，苹果的iOS软件有一个安全功能，禁止通过蓝牙发送数据的应用在后台使用短程通信协议。如果不具备在后台运行的能力，接触者追踪应用就会受到严重阻碍，因为用户将被要求保持应用打开和手机解锁。4月早些时候，法国官员曾敦促苹果在iOS中放弃这一限制，让自己的联系人追踪应用能够正常运行。 能够在后台使用蓝牙追踪智能手机用户是否与COVID-19检测呈阳性的人接触过，是苹果和谷歌的接触者追踪系统的核心功能之一，该系统将成为公共卫生机构可以用来构建自己的应用程序的框架。但苹果和谷歌要求开发者以分散的方式处理数据，在收到COVID-19检测呈阳性之前，任何信息都不能离开用户的设备。这两家公司似乎都不愿意在这些协议上动摇。 “这些隐私原则不会改变，”苹果公司全球隐私总监Gary Davis说。”它们是基本的隐私原则，是实现这一目标所需要的。” 这就是导致对峙的另一个因素。法国和德国，以及英国的国家卫生局显然选择了集中式的接触者追踪解决方案，将用户数据存储在中央服务器上。因为这样一来，他们将无法使用苹果和谷歌的API，这让这些应用又回到了后台蓝牙的问题上。如果没有这个关键功能，数字接触者追踪措施的效果就会受到严重怀疑。而欧洲当局则对此表示不满。一位法国官员表示，欧盟国家 “完全被谷歌和苹果所挟持”。 苹果和谷歌周五宣布了有关其接触者追踪努力的细化技术细节，实际上，该计划将于4月28日提前推出。   （稿源：cnBeta，封面源自网络。）

据外媒TechCrunch报道，一个存储着数百万张信用卡交易信息的庞大数据库，在公开暴露在互联网上近三周后，已经被保护起来。该数据库属于Paay公司，这是一家位于纽约的信用卡支付处理商。与其他支付处理商一样，该公司代表销售商户（如网店和其他企业）验证支付，以防止欺诈性交易。 但由于服务器上没有密码，任何人都可以访问里面的数据。 安全研究人员Anurag Sen发现了这个数据库。他告诉TechCrunch，他估计数据库中大约有250万条银行卡交易记录。在TechCrunch代表他联系了该公司后，数据库被下线。”4月3日，我们在一个服务上调出了一个新的实例，目前我们正在废止这个服务。”Paay联合创始人Yitz Mendlowitz说。”发生了一个错误，导致该数据库在没有密码的情况下被曝光。” 该数据库中包含了一些商户的每日刷卡记录，时间可追溯至2019年9月1日。TechCrunch查看了部分数据。每笔交易都包含了完整的明文信用卡号码、到期日和消费金额。这些记录还包含了每个信用卡号码的部分掩盖副本。这些数据不包括持卡人的姓名或卡片验证值，这使得信用卡更难被用来进行诈骗。 Mendlowitz 对这一调查结果提出了质疑。”我们不存储卡号，因为我们没有用处。” TechCrunch向他发送了部分显示卡号明文的数据，但他没有回应后续报道。 这是今年以来第三家承认安全漏洞的支付处理商。今年1月，Sen发现另一家支付处理商的数据库遭曝光，其中存储着670万条记录。本月早些时候，另一名研究人员发现两家支付法院罚款和水电费的支付网站也留下了几个月的缓存数据暴露。 Mendlowitz表示，该公司正在通知15到20家商户，并表示该公司已经聘请了一位专家来了解安全漏洞的范围。   （稿源：cnBeta，封面源自网络。）

据外媒报道，在当局处理像COVID-19这种威胁生命的疾病时，最糟糕的事情之一就是安全漏洞。而现在这样的事情已经发生，因为不明身份人士公布了近25000个电子邮件地址和密码，这些电子邮件地址和密码来自不同的组织，包括美国疾病控制与预防中心(CDC)、盖茨基金会、美国国立卫生研究院（NIH）、世界卫生组织（WHO）和世界银行。 目前还不清楚这些机构遭黑客入侵的时间，也不清楚谁对入侵事件和信息的传播负责，但结果还是令人担忧。其中一些密码仍然可以被用来访问电子邮件地址。监视网上极端主义和恐怖组织的SITE情报组告诉《华盛顿邮报》，这些电子邮件的登录信息在周日被共享。到了周一，这些邮件已经被极右极端分子用来进行黑客攻击和骚扰。 “新纳粹分子和白人至上主义者利用这些名单，在他们的活动场所中积极发布这些名单，”SITE的执行董事Rita Katz说。”极右极端分子利用这些数据，在分享新冠病毒大流行的阴谋论的同时，还呼吁开展骚扰运动。这些所谓的电子邮件凭证的分发只是整个极右分子长达数月的行动的另一个部分，目的是将COVID-19大流行病武器化。” 这些信息最初出现在4chan上，然后被转移到Pastebin上，然后又出现在Twitter和Telegram上的极右极端主义账户上。最大的一批电子邮件地址属于NIH（9938个），其次是CDC（6857个）、世界银行（5120个）和WHO（2732个）。 澳大利亚网络安全专家Robert Potter 表示，一些WHO的电子邮件地址和密码组合是真实的。”他们的密码安全性令人震惊，”Potter 说，关于泄露的WHO凭证，他说。”有48人用’密码’作为他们的密码。其他人用的是自己的名字或 ‘changeme’。”Potter表示，世卫组织的信息来自于2016年的一次黑客攻击。目前还不清楚其他凭证的来源，也不清楚是谁能够获得这些凭证。其中一些可能是从暗网购买的。 新纳粹组织一直在利用这些信息传播和助长COVID-19的阴谋论。有一个团体说，这些邮件地址的数据 “证实了SARS-COV-2实际上是人工合成的病毒”，这也是目前流传的新冠病毒阴谋论之一。世卫组织最近表示，这种新型冠状病毒是动物源性的，没有任何迹象表明COVID-19病毒是在实验室里合成的。   （稿源：cnBeta，封面源自网络。）

除了软硬件和网络通讯协议上的漏洞，近年来我们还见到了各种稀奇古怪的 PC 数据窃取方案，比如通过芯片工作时的电磁波、或人耳难以察觉的扬声器 / 麦克风方案来泄露数据。近日，以色列本·古里安大学的研究人员更是突发奇想，演示了如何通过风扇振动和智能手机，成功地从 PC 上窃取数据。 即便是物理上相互隔离、且没有接入到互联网，这套被称作 AiR-ViBeR 的方案，还是能够以人们难以察觉的方式来泄露数据。 理论上，我们可以将 CPU、GPU、机箱风扇等机电组件的振动模式与特殊的恶意软件结合使用，以直接操控风扇的转速。 视频详见：https://www.cnbeta.com/articles/tech/968891.htm 概念验证期间，研究人员使用了一部和计算机放在同一张桌面上的智能机。尽管两者之间没有物理和常见的无线连接，但手机仍可通过加速度计来记录振动的变化。 三星 Galaxy S10 等高端设备，其内置的传感器已拥有足够的精确度，分辨率达到了 0.0023956299 m / s2 。 这种方式的另一个优点，就是攻击者无需破解任何移动设备 —— 无需在 Android / iOS 设备上启用特殊的权限，即可在后台神不知鬼不觉地读取加速度计的数据。 相关代码甚至可以借助 Web 浏览器的 JavaScript 脚本来实现，不过目前这项研究的最远传输距离也只有 1.5 米、且速度相当缓慢，因此大家没必要太过担心。   （稿源：cnBeta，封面源自网络。）

据外媒 TheStar 报道，乌克兰安全研究人员Bob Diachenko每天都会花一部分时间在互联网上搜索一些不安全的数据，以修复这些数据，以免被黑客利用。上个月，他发现了一个不安全的服务器，存储了4200万个信息，几乎都是来自伊朗的信息，并与聊天应用Telegram有关。 至于是谁获得了这些数据并将其放置在服务器上，Diachenko并没有直接的线索。只有一个全黑的登陆页面，上面有一只白鹰的标志和一条波斯语的信息。上面写着 “欢迎来到狩猎系统”。 Diachenko表示，他通知了伊朗的一个网络安全机构，不久之后，服务器就被关闭了。但在它消失之前，其他网络间谍开始了自己的调查。最终，他们找到了一个黑客组织，这个组织有被称为“ Charming Kitten”（迷人小猫），并得出了一个惊人的结论。Diachenko偶然发现了一个伊朗政府的间谍行动。 “10多年来，我一直在监控伊朗的网络攻击和监视，我从未见过这样的事情，”伊朗网络安全和数字权利研究人员Amir Rashidi说。他在纽约工作，是一名伊朗网络安全和数字权利研究人员。”他们可以用这个来对付我的亲戚、朋友、家人。” 彭博社审查了这一队数据，其中部分数据包含了与服务器上存储的账户相关的用户名、电话号码、用户简历以及唯一的代码–或 “哈希”。目前还不清楚这些数据是否主要来自于Telegram非官方应用用户，2018年伊朗当局封锁了Telegram。一些使用与Telegram相同源码的非官方应用，此前曾与伊朗政府有关联。 Diachenko说，无论是哪种方式，这些数据都可能被用来克隆人们的账户，并对私人通信进行间谍活动，识别匿名使用Telegram的人，或者发送针对特定群体的宣传或虚假信息。 Rashidi表示，伊朗此前曾有选择地针对特定人群的账号，并对其进行黑客攻击。但 “狩猎系统 “表明伊朗当局正在使用新的、更激进的技术来收集和分析关于其公民的巨量信息。他表示：”这是我第一次看到他们试图大规模分析数据的证据。” Telegram在一份电子邮件声明中说，该公司认为这些数据来自于伊朗使用的非官方版本的应用程序，它说这些数据可能从人们的手机中隐蔽地收获了关于Telegram用户的信息。”我们能够研究的数据样本清楚地表明，这些数据是通过第三方应用窃取用户的数据来收集的，”Telegram发言人Markus Ra表示。 “如果你的朋友中有人使用了你的号码，那么你的号码和用户名就可能会出现在像 “狩猎系统 “这样的数据库中。”Ra说，”即使你自己没有使用过那个恶意的APP，也会有可能出现在数据库中。” 根据对服务器上的账户和Telegram上的账户进行对比审查，数据库中至少有部分用户账户与官方Telegram应用的活跃用户有关。时间戳显示，部分Telegram用户记录的访问时间最早是在2020年3月。 伊朗网络警察部门没有回应置评请求。伊朗通信和信息技术部副部长Amir Nazemi表示，他向伊朗总检察长办公室提交了关于数据泄露事件的投诉。他拒绝就网络警察或其他政府机构是否参与 “猎杀系统 “发表评论。 Diachenko发现该服务器的消息被一家计算机行业刊物报道。几名伊朗安全研究人员继续深入研究这些数据。其中在美国生活和工作的Mohammad Jorjandi,说，他发现存储用户数据的服务器被一个叫 Manouchehr Hashemloo的人注册到了德黑兰西北部的一个办公室。 Jorjandi利用彭博新闻社看到的在线记录，确定Hashemloo使用的Gmail地址与一名与伊朗政府有联系的知名黑客使用的Gmail地址相同。这名黑客的名字叫ArYaIeIrAN，据称与伊朗政府支持的黑客组织Charming Kitten有关联，该组织有针对伊朗持不同政见者、学者、记者和人权活动家的历史。 Jorjandi因此断定，建立 “狩猎系统 “服务器的人很可能是为伊朗政府工作。 ClearSky网络安全公司此前也曾发现了与Hashemloo相关的化名ArYaIeIeIrAN所实施的几次黑客行动，2017年的一份报告引用了该黑客的Gmail地址，并将其与Charming Kitten所实施的行动联系在一起。 Hashemloo没有回应电子邮件的置评请求。另一名伊朗安全研究人员表示，Hashemloo是 “安全领域的知名人士”。   (稿源：cnBeta，封面源自网络。）