HackerNews 编译，转载请注明出处： 比利时电信运营商Orange于8月21日披露，7月底发现一起网络攻击事件，导致85万个客户账户的数据遭泄露。 该比利时子公司声明“关键数据未受侵害：密码、电子邮箱地址、银行或财务信息均未被黑客获取”，但警告称：“黑客入侵了包含以下数据的IT系统：姓名、电话号码、SIM卡号、PUK码及资费套餐。”公司解释称，PUK码（个人解锁密钥）是8位安全码，当客户多次输入错误PIN码时可用来解锁SIM卡。 公司未立即回应关于事件发现与披露时间的质询，但在声明中表示，团队在发现问题后“立即封锁受影响系统的访问权限并强化安全措施”。声明补充道：“比利时Orange已向相关部门报警，并向司法机构提交正式投诉。” 此次攻击发生前，其母公司Orange集团于7月25日曾发现影响内部系统的网络攻击。当时Orange集团表示无证据显示客户数据被窃取。Orange未说明两起事件是否关联，也未更新此前声明。两次攻击的具体性质均未公开。 官方声明称，受影响客户将通过短信和邮件收到通知，并敦促其警惕专用网页上提示的钓鱼攻击风险。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国联邦调查局（FBI）和思科公司警告称，俄罗斯网络间谍组织正通过2018年发现的漏洞，持续针对未打补丁的思科网络设备发起攻击。 FBI与思科Talos部门于周三发布的联合公告指出，俄罗斯联邦安全局（FSB）第16中心的黑客组织利用漏洞 CVE-2018-0171，攻击已进入生命周期结束状态的设备，入侵目标涵盖北美、亚洲、非洲和欧洲的电信、高等教育及制造业组织。 思科Talos表示，该活动背后的组织（安全专家称为Static Tundra、Berserk Bear或Dragonfly）多年来通过思科IOS和IOS XE软件的智能安装（Smart Install）功能中未修复的漏洞入侵设备，这些设备通常因达到生命周期结束状态而无法获得补丁更新。 思科Talos指出，受害者多“基于对俄罗斯政府的战略利益价值”被选定，其中部分位于乌克兰。该机构警告称，随着俄罗斯战略利益变化，该组织很可能持续针对乌克兰及其盟国。“我们观察到最明显的目标转变是：俄乌战争爆发后，Static Tundra对乌克兰实体的攻击急剧升级并维持高位。”他们表示，“与此前有限的针对性入侵不同，该组织已渗透乌克兰多个垂直领域的机构。” FBI称，过去一年中观察到该组织加速收集“数千台美国关键基础设施领域网络设备的配置文件”。黑客修改了部分设备的配置文件以维持对受害者系统的长期访问权限，并开展侦察活动——多数聚焦“与工业控制系统（ICS）相关的协议和应用”。 FBI认同思科的评估，即Static Tundra十余年来持续攻击同类系统，并开发定制化工具针对思科设备，包括名为SYNful Knock的恶意软件。思科Talos已发布可检测该恶意植入脚本的工具。 上周，挪威警察安全局（PST）表示，4月该国西南部一座水坝疑似遭亲俄黑客破坏——入侵控制系统后开启阀门长达四小时，大量洪水涌入里瑟尔瓦河，直至操作员重新夺回控制权。 长期渗透战略 思科Talos分析，Static Tundra的核心目标是窃取数据并建立对系统的持久访问权。该组织以“入侵受害者网络后进一步渗透并控制更多网络设备”而闻名，具备“在目标环境中潜伏多年不被发现”的能力。 “我们判断，此活动的目的是大规模窃取设备配置信息，以便根据俄罗斯政府当前的战略目标与利益需求灵活调用。”思科Talos专家解释，“Static Tundra随俄罗斯优先事项变化而调整攻击重点的行为印证了这一点。”研究人员补充称，该组织很可能利用Shodan和Censys等网络扫描服务寻找目标。 2021年，美国司法部起诉四名被控隶属Static Tundra的俄罗斯公民，指控其主导针对全球能源公司的黑客活动。这些人员专门瞄准工业技术系统：2012至2014年，他们入侵多家工业控制系统制造商与软件供应商，将Havex恶意软件植入网络。司法部指出，2014至2017年间，该组织针对“特定能源实体及从事工业系统的工程师”，波及全球136个国家超过500家企业和机构的3300余名用户，包括美国核管理委员会等政府机构。 该组织曾通过钓鱼邮件成功入侵堪萨斯州沃尔夫溪核运营公司的商业系统，并采用“水坑攻击”窃取能源领域工程师的登录凭证。思科Talos强调，除俄罗斯组织外，其他国家级黑客团体“很可能也在开展类似的网络设备入侵活动”，建议客户尽快修补漏洞、禁用智能安装功能或联系其获取协助。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 数百万使用热门金融应用的土耳其用户可能遭遇了私人数据泄露。 Cybernews研究团队发现了一个未受保护的MongoDB数据库，内含超过四百万条敏感财务数据记录。 泄露的数据可追溯至FinansCepte和FinansWebde，这是土耳其使用最广泛的两款金融应用。这两款应用为超过一百万用户提供财务追踪、市场分析和个人投资管理服务。 目前尚不清楚是否有恶意行为者访问过这个暴露的数据库，也不清楚该数据库已公开暴露了多长时间。像这样暴露的数据库是攻击者的金矿，他们持续监控互联网以寻找未受保护的数据库。 因此，如果我们的研究人员找到了该数据库，攻击者很可能也已经发现了。 土耳其金融应用数据样本（图片来自Cybernews） Cybernews已联系应用背后的公司Pasyonis Medya ve Bilişim Ticaret，但在本文发布时尚未收到回复。 金融应用泄露了哪些数据？ 用户名 电子邮箱地址 电话号码 部分支付信息 哈希加密的密码 金融警报设置 数百万用户面临网络攻击风险 暴露财务数据极其危险，使用户容易遭受一系列网络攻击。掌握财务细节后，攻击者可发起高度复杂的钓鱼活动，针对应用用户进行诱骗，以获取更敏感的数据。例如，攻击者可能冒充金融应用发送通知，敦促用户重置密码或保护账户安全，实则窃取凭证并清空账户。 泄露的数据中也包含登录凭证。虽然密码经过哈希加密处理，安全性更高，但仍可能被用于撞库攻击和暴力破解攻击，从而使黑客有机会访问用户在其他多个平台的账户。 访问警报设置则可能让攻击者操纵金融通知，使用户无法察觉真实的市场波动，或在关键时刻向其传递虚假信号。 （图片来自Cybernews） 金融应用正在泄露用户数据 数据库不设密码是非常常见的漏洞，通常归因于人为失误。Cybernews的内部研究也显示了同样的趋势。然而，若未被及时发现，这些“简单的错误”可能会演变成影响数十万人的安全事件。 类似的配置错误是近年来多起影响金融应用的重大数据泄露事件的根源。 2024年，Cybernews发现尼日利亚金融科技公司BestFin（运营iCredit应用）发生数据泄露，暴露了846,000名客户、其紧急联系人信息，甚至包括该应用秘密收集的私人短信。 另一起数据泄露事件影响了乌拉圭数字银行平台Bankingly，导致七家金融机构的数据泄露，暴露了遍布南美和中美洲的近10万人的信息。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 纽约州商业委员会（Business Council of New York State）遭遇网络攻击，导致黑客窃取了超过4.7万人的敏感信息。 该商业倡导组织向多个州的监管机构报告称，其在今年2月遭受了网络攻击。 调查于8月4日完成，结果显示47,329人的部分信息遭到泄露，包括姓名、社会安全号码、州身份证号码、金融账户及路由号码、支付卡号、PIN码、有效期、纳税人识别号码以及电子签名信息等不同组合。 部分人员的重要医疗数据也被泄露，涉及诊断、处方、治疗和手术信息以及健康保险详情。 纽约州商业委员会与全州3000余家组织合作，成员包括IBM、柯达等大型企业及小型公司，雇员总数超过120万人。 该组织表示，其在州议会中游说维护商业利益，并推动经济发展。许多成员还使用该组织提供的团体保险计划。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一家总部位于印第安纳州的药物研究公司表示，近期遭受的勒索软件攻击已扰乱其业务运营，并迫使关键系统关闭。 Inotiv公司向美国证券交易委员会（SEC）提交报告称，该网络安全事件发现于8月8日，后续调查发现威胁行为者加密了其部分系统。 该公司尚未确定系统恢复的时间表，但表示该事件正在影响“公司某些网络和系统的可用性与访问权限，包括内部数据存储及特定内部业务应用程序的访问”。 工作人员正努力恢复部分系统运行，同时采用“离线替代方案”以减少业务中断。当局已就此次勒索软件攻击通知执法部门，但尚未有组织宣称对事件负责。 Inotiv作为合同研究组织，为制药公司提供药物发现与开发服务。该公司2025年前三季度通过医疗设备、肿瘤药物、神经科学和新冠肺炎相关项目实现3.749亿美元收入。 在提交给SEC的文件中，该公司表示尚不确定该事件是否会造成财务影响。 周二上午，Qilin勒索软件组织宣称对此次攻击负责，并将Inotiv列入其数据泄露网站。该组织在公告中声称窃取了176GB信息，据称包含过去十年收集的研究数据。 该组织因针对医疗行业的攻击而臭名昭著，去年曾因攻击英国病理服务机构Synnovis导致勒索事件，据称造成一名患者死亡。这个位于俄罗斯的勒索组织还涉及多起针对政府机构及美国大型报业集团的攻击。 今年已有两家医疗设备公司向SEC报告网络安全事件。设备制造商迈心诺（Masimo）5月表示，网络攻击影响了其“及时处理、履行及发运客户订单的能力”。 一个月后，明尼苏达州公司Surmodics向监管机构报告，为应对网络攻击被迫关闭部分IT系统。另一家生产心脏手术产品的公司则称，其交付系统因感恩节前夕的勒索软件攻击而中断。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚第二大互联网服务提供商（ISP）披露了一起重大数据泄露事件，波及数十万客户。 母公司TPG Telecom今日向澳大利亚证券交易所提交公告称，其子公司iiNet的订单管理系统遭到“不明第三方”非法入侵，该事件于上周六（8月16日）被发现。公告声明：“8月16日周六确认事件后，我们立即启动应急预案，切断了未经授权的系统访问途径，并已聘请外部IT及网络安全专家协助事件处置”。 TPG Telecom声称该订单管理系统仅存储“有限”的客户个人信息，未涉及身份证件、信用卡或其他财务资料。但公司承认非法第三方获取了以下数据： 28万个活跃iiNet邮箱地址 2万个活跃iiNet固定电话号码 1万个iiNet用户名、住址及电话号码 1700个调制解调器设置密码 数量不明的“休眠”邮箱地址及固话号码 目前尚不明确黑客如何获取iiNet员工的账户凭证，但近年来信息窃取程序威胁日益加剧。据近期研究显示，2021至2025年间已有超3万澳大利亚人的银行登录凭证通过此类恶意软件外泄。 该电信集团表示已联络澳大利亚网络安全中心（ACSC）、国家网络安全办公室（NOCS）、澳大利亚信号局（ASD）及澳大利亚信息专员办公室（OAIC）等相关部门。 自2022年起频发的数据泄露事件促使澳大利亚政府持续加强网络安全建设。此前该国已推出《2023-2030年网络安全战略》，旨在2030年前将澳大利亚打造为“全球网络安全领导者”；2024年更通过首部专项立法《网络安全法案》。       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全领域正面临一种新型威胁的警示——“提示词中间人攻击”（Man-in-the-Prompt），这种攻击能够危害用户与主流生成式人工智能工具的交互，包括ChatGPT、Gemini、Copilot和Claude等。最令人担忧的是，这种攻击甚至不需要复杂的技术手段，仅需一个浏览器扩展即可实施。 LayerX安全研究员Aviad Gispan解释道：“研究表明，任何浏览器扩展——即使没有特殊权限——都能访问商业和内部LLM（大语言模型）的提示词，并通过注入恶意提示词来窃取数据、外泄信息并掩盖痕迹。我们已在所有主流商业LLM上验证了这一漏洞，并为ChatGPT和Google Gemini提供了概念验证演示。” 什么是“提示词中间人攻击”？ LayerX安全专家用这个术语描述一种新型攻击向量，它利用了AI聊天机器人输入窗口这一被低估的弱点。当我们在浏览器中使用ChatGPT等工具时，输入的信息实际上位于一个简单的HTML字段中，可通过页面的DOM（文档对象模型）访问。这意味着任何能访问DOM的浏览器扩展都能读取、修改或重写我们发送给AI的请求，而用户却浑然不觉。更关键的是，这类扩展甚至不需要特殊权限。 攻击原理剖析 用户在浏览器中打开ChatGPT或其他AI工具 恶意扩展拦截即将发送的文本 修改提示词，例如添加隐藏指令（提示词注入）或从AI响应中窃取数据 用户收到看似正常的回复，但实际上数据已被窃取或会话已被入侵 该技术已被证实适用于所有主流AI工具，包括： ChatGPT（OpenAI） Gemini（Google） Copilot（Microsoft） Claude（Anthropic） DeepSeek（中国AI模型） 具体风险分析 报告指出，这种攻击可能造成严重后果，尤其对企业用户： 敏感数据窃取： 若AI处理的是机密信息（源代码、财务数据、内部报告），攻击者可通过修改提示词读取或提取这些信息。 响应操控： 注入的提示词可改变AI的行为模式。 安全控制绕过： 攻击发生在提示词发送至AI服务器之前，因此能绕过防火墙、代理和数据防泄露系统。 据LayerX统计，99%的企业用户浏览器中至少安装了一个扩展程序，这意味着风险敞口极大。 防护措施建议 个人用户应采取： 定期检查并卸载非必要的浏览器扩展。 避免安装来源不明或不可靠的扩展。 尽可能限制扩展权限。 企业用户应实施： 在公司设备上禁用或严格监控浏览器扩展。 尽可能将AI工具与敏感数据隔离。 采用运行时安全解决方案监控DOM并检测输入字段篡改。 对提示词流进行专项安全测试，模拟注入攻击。 采用新兴的“提示词签名”技术：在发送前对提示词进行数字签名以验证完整性。 实施“来源标注”技术，区分可靠内容与潜在篡改。 更广泛的问题：提示词注入 “提示词中间人攻击”属于更广泛的提示词注入威胁范畴，根据OWASP 2025年十大LLM安全风险，这是AI系统面临的最严重威胁之一。这类攻击不仅限于技术手段——即使是看似无害的外部内容（如电子邮件、链接或文档注释）也可能包含针对AI的隐藏指令。例如： 处理支持工单的企业聊天机器人可能被格式异常的请求操控。 阅读邮件的AI助手可能被注入的提示词诱导向第三方发送信息。 核心启示 LayerX报告指出了一个关键问题：AI安全不能仅局限于模型或服务器层面，还必须涵盖用户界面和浏览器环境。在AI日益融入个人和企业工作流的时代，一个简单的HTML文本字段可能成为整个系统的致命弱点。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客论坛近期出现一份据称包含1580万组PayPal凭证的数据集，内含登录邮箱及明文密码。发帖者宣称数据为近期获取，但PayPal官方否认存在系统入侵。 该数据发布于知名泄密论坛，广告发布者声称数据集涵盖数百万组PayPal邮箱与密码凭证。PayPal公司代表向Cybernews声明：”没有发生数据泄露——这与2022年事件相关而非新事件”。 攻击方数据泄露主张 发帖者声称数据于今年5月获取，泄露细节包含： 登录邮箱 明文密码 关联URL 变体信息 攻击方宣称数据集覆盖全球大量PayPal账户。若属实，将使用户面临严重风险：泄露凭证可直接用于账户登录，虽多数用户启用多因素认证（MFA），但凭证泄露仍会突破首道防线；关联URL更直接指向相关服务入口。攻击方提供的样本显示数据结构支持自动化撞库攻击。 发帖者承认数据含”数千组独特高强度”密码，但存在重复使用现象，这意味着实际可利用数据量可能低于其宣称规模。 争议焦点与验证 Cybernews研究团队核查后表示：样本规模过小无法验证有效性，且若数据确为5月窃取，有效信息或已被利用。值得注意的是，所谓海量数据仅标价750美元，与宣称价值严重不符。 PayPal历史上从未发生大规模系统入侵，暗示数据可能通过其他途径获取。信息窃取恶意软件（Infostealer）是可能来源——这类恶意软件获取的数据通常按URL、登录详情、密码的结构存储，与本次泄露数据结构高度吻合。 背景关联 2022年12月PayPal曾遭撞库攻击，3.5万账户信息泄露。2025年初公司因未遵守纽约州网络安全法规支付200万美元和解金。此次论坛兜售事件中，攻击方特别标注”2025年全球PayPal凭证库”字样，但数据特征显示其更可能源自受感染设备采集的登录凭证，或为恶意软件窃取的浏览器保存密码。 信息窃取恶意软件运作机制 这类恶意软件通过可疑链接、伪造程序或恶意附件渗透设备，隐蔽窃取：浏览器保存密码、自动填充信息、Cookies、信用卡号及加密钱包密钥。得手后立即将数据传输给攻击者，部分变种可自删除痕迹。当前RedLine、Raccoon等窃密工具在暗网泛滥，且已出现针对macOS和Android系统的变种。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 人力资源解决方案公司Workday披露，未知威胁行为者通过高级社会工程手段成功入侵其第三方CRM平台，手法与近期Salesforce攻击浪潮如出一辙。这家总部位于旧金山的公司于周五在官网发布公告警示客户。 “我们希望告知近期针对多家大型组织（包括Workday）的社会工程攻击活动，”声明指出。攻击者通过“短信或电话联系员工，伪装成人力资源部或IT部门人员”，这种被称为语音钓鱼（vishing）的手段与黑客团伙Shiny Hunters（UNC6240）今夏针对数十家Salesforce环境的攻击策略高度相似。 Workday成立于2005年，是专注人力资源与财务管理的云服务供应商，拥有近2万名员工及全球超1.1万家企业客户，服务合同用户超7000万，2024年营收达84亿美元。Closed Door Security首席执行官威廉·赖特分析称：“与其他CRM数据窃取事件类似，攻击者诱骗员工授予平台访问权限后实施数据外泄。”泄露数据主要为“常见商业联系信息，如姓名、邮箱和电话号码”，可能被用于升级社会工程诈骗。 赖特强调此类信息泄露将“严重打击客户信任”，增加鱼叉式钓鱼与欺诈风险。他进一步指出，ShinyHunters关联攻击事件激增表明“员工需接受更复杂社会工程攻击的培训”：“当前员工已熟悉传统钓鱼邮件，但语音钓鱼因缺乏针对性培训而异常有效”。 Workday重申“无迹象表明客户租户或内部数据被访问”，并提醒客户“官方通知仅通过认证支持渠道发送，绝不会通过电话索要密码等安全信息”。CybaVerse首席技术官朱丽叶·哈德森认为攻击特征指向ShinyHunters为主谋：“培训员工识别语音钓鱼仅是基础，随着攻击者伪装技术日益精密，企业需强化内部认证协议。”她举例说明：“若客服人员与员工通话时需验证身份才能分享敏感数据，此类攻击成功率将大幅降低”。 2025年3月，Salesforce曾预警语音钓鱼攻击导致约20家企业数据外泄，黑客篡改其数据加载工具实施入侵。6月谷歌旗下Mandiant确认Shiny Hunters为该活动幕后黑手，业界推测其与Scattered Spider勒索团伙存在关联或协作。近期受害企业包括可口可乐、思科、澳航、安联人寿、阿迪达斯及路易威登母公司LVMH等。Workday表示发现入侵后已立即切断访问权限，并增设防护措施防止类似事件重演。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： WarLock勒索软件攻击Colt电信公司，导致其自8月12日起托管服务、端口迁移、Colt在线平台及语音API平台持续中断。 英国电信服务提供商Colt Technology Services确认遭受网络攻击（据称为WarLock勒索软件所为），造成托管服务、端口迁移、Colt在线平台及语音API平台连续多日中断。该公司正式名称为Colt Technology Services Group Limited，是一家总部位于伦敦的跨国电信企业，1992年以“伦敦金融城电信公司”之名成立，初期专注于伦敦本地电信网络建设，后逐步将业务扩展至欧洲、亚洲及北美地区。 该公司专注于为企业提供高性能连接与通信解决方案，服务涵盖数据、语音、云服务及托管IT解决方案，重点提供可扩展、安全可靠的网络基础设施。Colt拥有并运营大型光纤网络，通过城际与长途网络连接全球多个城市和国家数千栋建筑。 Colt客户群体广泛，涵盖大型跨国企业至中小型公司，业务覆盖40多个国家，员工超6,000名，以客户服务、创新及可持续发展能力著称。 攻击者公开出售窃取数据。事件始于8月12日，中断持续至今，公司IT团队正全力控制影响并恢复受攻击系统。 Colt最初将中断描述为“技术问题”，后确认为网络攻击，已关闭系统以缓解威胁。公司强调核心网络基础设施未受影响，已上报监管部门但未透露攻击技术细节，尚未公布系统恢复时间表。 知名网络安全专家Kevin Beaumont指出，攻击者可能通过Microsoft SharePoint漏洞（CVE-2025-53770）侵入sharehelp.colt.net，并在其网络潜伏超一周。该研究员推测Colt可能试图掩盖此事。 WarLock关联人员“cnkjasdfgd”宣称对攻击负责，以20万美元价格出售100万份窃取文档，内容包括财务数据、员工信息、客户资料及内部文档。       消息来源： securityaffairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文