疑似迪卡侬 8000 名员工个人信息暴露暗网上
The cyber express 网站消息，某论坛用户爆料知名体育用品零售商迪卡侬一起数据泄露事件，大约 8000 名员工个人信息在此前迪卡侬数据泄露事件中被曝光，这些信息目前已在暗网上“共享”。 据悉，消息源于 vpnMentor 最近发表的一篇博客，一名攻击者“共享”了此前迪卡侬发生的数据泄露事件中的数据，该事件影响了迪卡侬的全球员工和客户。论坛用户上传了一个据称与迪卡侬有关的 61MB 数据库，根据帖子内容，该数据库据称包含约 8000 名迪卡侬员工的个人身份信息 (PII)。 值得一提的是，迪卡侬之前发生的数据泄露事件中暴露的数据包含一系列敏感信息，例如全名、用户名、电话号码、电子邮件地址、居住国家和城市的详细信息、身份验证令牌甚至照片。 咨询公司 Bluenove同时被曝发生数据泄露 数据泄露还包括来自技术和咨询公司 Bluenove 的信息，the cyber express 与 Bluenove 联系后，该公司迅速做出回应，确认暗网论坛上流传的数据库副本真实存在。 对暗网论坛上发布的数据库进行进一步分析检查后，网络安全研究人员发现这些窃取的信息似乎与研究小组在 2021 年发现并报告的迪卡侬员工数据泄漏事件相吻合，vpnMentor 因其数据储存相关政策，不能再拥有最初迪卡侬数据泄漏事件的数据样本，但根据之前的报告，网络攻击者共享样本中包含的信息与团队两年前发现的数据信息基本一致。 为收集更多有关迪卡侬数据泄露的信息，the cyber express 联系了迪卡侬和 Bluenove。然而，截至本文发布前，两家公司均未发表官方声明或做出回应。因此，从现有掌握的数据来看，有关迪卡侬员工数据泄露和 Bluenove 网络攻击的说法仍未得到完全证实。 转自Freebuf，原文链接：https://www.freebuf.com/news/380889.html 封面来源于网络，如有侵权请联系删除
加拿大航空员工信息遭到泄露
据BleepingComputer消息，加拿大航空新闻网站 9 月 20 日发表的一份声明称，有网络攻击者“短暂”获得了对其内部系统的有限访问权限，导致部分员工的一些个人信息和记录文件被盗。 加拿大航空是加拿大最大的航空公司，也是世界上历史最悠久的航空公司之一，每天运营 1300 多个航班，但最近因“强迫乘客坐有呕吐物残留的座位，否则将被列入禁飞名单”而处在舆论浪尖，目前尚无证据此次攻击是对该航空公司的报复行为。 根据声明，加拿大航空已在事后联系了受影响的相关单位和相关执法部门，航班运营系统和面向客户的系统没有受到影响，客户信息在此次事件中也没有泄露。 声明表示，公司会进一步加强了安全措施，包括在全球领先的网络安全专家的帮助下，以防止未来发生此类事件。但对于导致该事件的原因，该声明并未透露相关的任何细节。 就在加拿大航空发布事件声明的当天，疑似由亲俄黑客组织发起的网络攻击导致加拿大多个机场大范围服务中断，并导致全国各地边境检查站（包括蒙特利尔特鲁多国际机场）的入境处理严重延误1个多小时。 过去十年来，数据泄露和网络攻击已成为航空企业时常出现的高危风险。最近，欧洲航空航天巨头空中客车公司表示，一名黑客将该公司 3200 家供应商的信息泄露至暗网。 IBM 7 月份的一份报告称，交通运输行业是其数据泄露成本最高的行业之一，2023 年该行业的平均成本达 418 万美元。 转自Freebuf，原文链接：https://www.freebuf.com/news/379098.html 封面来源于网络，如有侵权请联系删除
为监控用户，纽约警方花费数百万美元抓取社交媒体数据
据Cyber News披露，美国纽约警方为了监视社交媒体上的用户及内容，花费数百万美元与一家曾被指控不当抓取平台数据的监控公司签订了合同。 监控公司 Voyager Labs 的产品声称能使用人工智能分析网络用户的行为。该公司表示，通过对大型数字文件进行快速分析，可帮助执法部门检测和预测欺诈和犯罪。根据倡导隐私权的非营利组织 “监控技术监督项目”（STOP）获取到的文件，早在 2018 年，该公司就与纽约警察局签署了一份价值近 850 万美元的合同。 但随后，Voyager Labs 被科技巨头 Meta 起诉，称其涉嫌使用近4万个虚假 Facebook 帐户来收集大约 60万个用户的数据，换句话说，就是进行不当的数据抓取。 与此同时，另一份文件显示，纽约皇后区检察机构也与以色列公司 Cobwebs Technologies签署了一项协议，使该公司向警方提供社交网络地图产品。 虽然美国执法部门多年来一直与社交媒体分析公司合作，利用其中的信息辅助一些特定调查，但专家警告说，这种做法需要合法使用，特别是当警方试图通过获取私人信息，并跳过获取传票和搜查令等步骤来预测未来的犯罪行为时。 STOP 主管威尔·欧文 (Will Owen)说道：“与 Voyager Labs 和 Cobwebs Technologies 签订的合同都扩大了执法部门对社交媒体的监控和其他天罗地网般监控工具的使用，这些工具长期以来一直针对包括儿童在内的纽约黑人和拉丁裔。” 欧文认为，这是具有侵入性且非法的行为，宪法要求执法部门在对公众进行搜查之前必须获得搜查令，此举是对宪法的公然绕过。 目前尚不清楚纽约警方到底如何使用 Voyager 软件，但法律允许其警察使用虚假的社交媒体资料。STOP 的实习生莉兹·黄 (Liz Huang) 为此担忧地表示，用户在社交媒体接受的每一个朋友和关注请求，都可能面临着来自警察的监视和对隐私的侵犯。 转自freebuf，原文链接：https://www.freebuf.com/news/377785.html 封面来源于网络，如有侵权请联系删除
政府泄露公民个人信息，法院批准启动集体诉讼
加拿大税务局在2020年遭受了一起网络攻击事件，导致数千个用户账户密码被盗，部分用户个人信息和财产受到侵害，现在用户提起了集体诉讼。 有消息称，加拿大联邦法院已经核准一项针对该国联邦政府的集体诉讼，指控政府在“保护加拿大人机密信息方面存在疏忽，导致广泛的隐私侵犯”。 这项诉讼之所以被提起，是因为2020年加拿大税务局账户和其他政府服务遭受了网络攻击。 原告认为加拿大政府网站未采取足够保护措施 原告Todd Sweet是一名来自不列颠哥伦比亚省的退休警官。他认为几家在线政府门户网站“未采取足够的保护措施”，将敏感信息置于危险之中，使“不良行为者”能未经同意即访问加拿大人的在线账户。 除了声称私人账户遭到侵犯，Sweet还指控黑客能够冒领加拿大紧急响应补助金（CERB），导致真正有需要的人无法获得必要的资金支持。 Sweet要求法院命令加拿大政府，给予账户遭侵犯者财务赔偿，并提供修复伤害可能需要的信用监控服务。 诉讼中提出的指控尚未在法庭上接受检验。根据核准通知，联邦政府否认在此事中有任何不当行为。 税务局称有1.12万个用户账户受影响 在2020年8月，加拿大税务局暂停提供在线服务，因为两次网络攻击导致数千个用户名和密码被盗。 根据联邦政府的说法，有总共11200个联邦政府服务账户遭到“撞库”攻击，黑客使用其他在线门户的密码和用户名来访问加拿大人在税务局的账户。 官方表示，他们在2020年8月7日首次发现了这些安全漏洞，但直到2020年8月11日才联系加拿大皇家骑警。 任何人，只要个人或财务信息在2020年3月1日至12月31日期间被未经授权的第三方访问，都会自动纳入这场集体诉讼。加拿大政府在线账户包括加拿大税务局账户、“我的加拿大服务”账户以及使用GCKey登录的任何其他联邦政府服务。 核准通知说，任何人，只要受到这些安全漏洞影响，无需采取任何行动即可参与这一集体诉讼程序，也可以选择退出诉讼。 如果选择退出，他们必须在11月27日之前填写本案代理律所发布的在线表格。核准通知底部也提供了一份退出表和收取该表格的电子邮箱地址。 通知进一步解释说，诉讼将要求对损害提供一揽子赔偿。这意味着，如获任何赔偿，法官将确定如何将赔偿分配给受影响者。 转自安全内参，原文链接：https://www.secrss.com/articles/58698 封面来源于网络，如有侵权请联系删除
报告显示大部分人愿意分享个人隐私数据以阻止新冠疫情
市场研究公司eMarketer刚刚发布了一份关于COVID-19与数据隐私交叉点的实质性新报告。这份报告暗示我们中的一些人在新冠疫情消退后仍会同意接触追踪等技术。eMarketer表示，部分用户一旦看到了联系人追踪应用程序，一旦现它起作用了，如果他们确信它能充分保护你的隐私，也许他们会愿意继续使用类似的东西。 eMarketer引用的一项研究发现，我们几乎大多数人都接受健康和位置追踪，以监测那些已经被检测出病毒阳性的人，而其他用途则被大多数受访者反对。当提到这个话题时，我们大多数人都会想到通过手机进行联系追踪，但eMarketer介绍了在全球各个地区，从信用卡交易到面部识别等一切都在被追踪。这些数据被用来编制谁已经或正在传播冠状病毒的档案。 尽管医疗卫生界正在就进一步了解这种病毒达成共识。但是民众处在一个非常分裂的时期。任何人都可以从不同的角度看待其中的一些数据，并有不同的看法。消费者何时会分享他们接触过的人来减缓或停止COVID-19，其中的情况很复杂，但我们大多数人仍然对这个想法持谨慎态度。基于COVID-19共享数据对用户进行定位可能是杀鸡取卵的做法，并可能限制他们在下一波或下一波病毒攻击时共享数据的意愿。 （稿源：cnBeta，封面源自网络。）
Microsoft Edge 未经允许静默导入 Firefox 数据
有用户发现通过 Windows Update 更新到设备的新版 Edge 会出现从 Firefox 导入数据的情况，即便用户未授权 Edge 进行此操作。 根据 krankie 的描述，微软在 UI 方面设计了一些元素来“欺骗和误导”用户。更新完系统，待 Edge 安装完成后，微软会显示一个最大化的 Edge 窗口给用户，但它会先弹出一个只包含”Get Started”按钮的模态对话框。因此用户无法直接关闭 Edge 也无法关闭模态对话框。唯一的选择是使用任务管理器来杀死此进程。不过即便关闭了它，Edge 也会自动固定到任务栏上。 最后他还提到，新版 Edge 未经用户允许就从其他浏览器中导入数据。 “除非通过任务管理器关闭它而不是执行强制设置，否则无论如何它都会复制数据，最糟糕的是大多数人永远不会知道 Edge 在做什么，因为他们再也不会打开它”。 除此之外，微软还会取消系统的默认浏览器设置，所以当用户点击一个 URL 时，需要重新选择默认浏览器。 微软对此一直保持沉默。因此，尽管最初的向导实际上是由用户手动杀死的，但到目前为止，仍不知道将 Edge 数据导入 Firefox 数据的原因。 （稿源：开源中国，封面源自网络。）
Facebook 起诉一开发人员窃取 5500 名用户数据
据外媒报道，据法庭文件显示，Facebook正在起诉一名开发人员，称该名开发人员参与了一场数据搜集活动并从中窃取了数千人的个人信息。该公司在诉讼中要求被告提供7.5万美元的赔偿。这家社交网络公司于周四表示，他们正在对Mohammad Zaghar及其网站Massroot8提起诉讼，指控该网站在未经许可的情况下获取Facebook用户的数据。 该行为被指违反了《计算机欺诈和滥用法案》。这起在加州北部地区提起的诉讼称，Zaghar的网站向客户提供了从Facebook好友处获取数据的能力，其中包括电话号码、性别、出生日期和电子邮件地址等。 所有这些数据都是由Facebook用户公开发布的，但据称Zaghar网站提供的自动化将使人们能够以更快的速度、更大规模地获取这些信息。Facebook还指控Zaghar使用僵尸网络，通过伪装成使用社交网络的Android设备来绕过Facebook的检测。 针对这一诉讼，Zaghar没有回复记者的置评请求。 Facebook表示，数据搜集活动从4月23日持续到5月6日，约有5500人注册了这项服务。起诉书称，除了从这5500名客户在Facebook上的朋友处收集的数据外，Massroot8还要求其客户提供登录凭证。 Facebook表示，他们已经向Zaghar发出了多次勒令停止令，另外还暂时封掉了他的Facebook和Instagram账号并要求其客户出于安全考虑更改密码。 （稿源：cnBeta，封面源自网络。）
遭隐私监管机构警告 挪威暂停新冠接触者追踪应用运营
据外媒报道，欧洲推出的首批国家新冠病毒接触追踪应用之一在挪威被叫停，原因是该国数据保护部门(DPA)担心这款名为Smittestopp的软件会对用户隐私造成严重威胁。不过继监察机构周五发出警告后，挪威公共卫生研究所(FHI)今日宣布，他们将从明天开始停止上传数据–DPA曾要求在6月23日截止日期之前暂停该应用的使用以便做出改变。 该机构补充称，它不同意监管部门的评估，但仍会尽快删除用户数据。 据FHI统计，截至6月3日，这款应用已被下载了160万次，活跃用户约为60万，占挪威人口的10%多一点，在年龄16岁以上的人口中约占14%。 FHI主管 Camilla Stoltenberg在一份声明中说道：“我们不同意数据保护机构的评估，但现在我们不得不删除所有数据并暂停工作。（然而）这样一来，我们就削弱了对不断增加的感染传播的防备的一个重要部分，因为我们在开发和测试这款应用上浪费了时间。与此同时，我们对抗感染传播的能力也在下降。” “大流行还没有结束。我们在人群中还没有免疫力、没有疫苗，也没有有效的治疗方法。如果没有Smittestopp这款应用，我们就无法预防可能在本地或全国爆发的新疫情。” 据了解，导致监管机构进行干预的则是该应用在该国的低传播率和低下载率–这意味着该机构现在认为，Smittestopp不再是一种比例干预。 跟欧洲许多国家的新冠病毒应用不同的是，挪威的这款还可以跟踪实时GPS定位数据。欧洲国家的新冠病毒应用则仅使用蓝牙信号来估计用户距离以此作为计算感染新冠病毒的风险的手段。 这个国家还在欧洲数据保护委员会提出指导方针之前对GPS追踪下了决定。据悉，该委员会特别指出新冠接触者追踪应用不需要对个人用户的位置展开追踪，另外还建议使用邻近数据来代替。 此外，挪威还选择了一个集中应用架构,也就是说用户数据被上传到为健康机构控制的中央服务器上而非本地储存设备。 FHI一直在使用该应用中所谓的“匿名”用户数据来跟踪全国各地的移动模式，该机构称这些数据将用于监控旨在限制病毒传播的限制措施是否奏效。 针对这种情况，DPA今日表示，该应用用户没有只允许追踪新冠病毒接触者的权利，这违反了欧盟数据保护目的限制原则。 另一个反对意见是关于应用数据是如何被匿名化和聚合到FHI上的–因为众所周知，定位数据是很难做到完全匿名化。 尽管如此，FHI今日表示，它希望用户能暂停该应用程序–通过在设置中禁用其对GPS和蓝牙的访问，而不是将其全部删除–这样该软件在未来被认为是必要和合法的情况下就可以更容易地得到重新激活。 （稿源：cnBeta，封面源自网络。）
谷歌遭亚利桑那州司法部长起诉 被指欺诈用户
据外媒报道，当地时间周三，谷歌受到来自亚利桑那州司法部长Mark Brnovich提起的诉讼，后者指控这家搜索巨头欺骗用户并从他们的手机中收集位置数据。我们知道，谷歌的绝大部分收入来自其庞大的广告业务，而谷歌在用户使用其产品时收集的个人信息为其提供了支撑。 对此，Brnovich在Twitter上发文指出，用户被一种虚假的安全感欺骗了，因为谷歌让用户认为他们禁用了位置数据收集的设置，而实际上这些设置仍旧是处于开启状态。 该诉讼要求谷歌提供损害赔偿，但具体金额尚不清楚。Brnovich的办公室也没有回复记者的置评请求。 谷歌则有在一份声明中为自己关于位置数据的政策进行过辩护。发言人Jose Castaneda表示：”司法部长和收取诉讼费用的律师似乎错误地描述了我们的服务。我们一直在我们的产品中内置了隐私功能并为位置数据提供了强大的控制。我们期待澄清事实。” （稿源：cnBeta，封面源自网络。）
Adobe Flash 爆出严重漏洞：可导致代码任意执行 获取个人隐私
众所周知，Flash是网络攻击的首选目标。值得注意的是，Adobe在2017年7月宣布计划将Flash推入使用寿命终止状态，这意味着它将在今年年底不再更新或分发Flash Player。不过仍然在使用Adobe的用户需要警惕，因为Adobe 在今年5月被爆出了多个严重漏洞,好在Adobe于6月9日发布了安全更新，修复了漏洞。 Adobe 被爆出的漏洞： 两个严重的越界写入漏洞（代号分别为：CVE-2020-9634，CVE-2020-9635）,一个内存损坏而导致的严重漏洞（代号：CVE-2020-9636）。 对于CVE-2020-9634，特定的漏洞存在于GIF文件的解析中，该问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致写操作超出了分配对象的末尾。 对于CVE-2020-9635，PDF文件的解析中存在特定漏洞。问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致在分配的对象开始之前进行写操作。 攻击者可以利用CVE-2020-9634，CVE-2020-9635两个漏洞在当前进程的上下文中执行代码，诱使用户打开特定文件或访问恶意页面。 对于CVE-2020-9636，该漏洞是在释放内存后尝试访问的。这可能导致一系列恶意影响，从导致程序崩溃到潜在地导致执行任意代码-甚至启用完整的远程代码执行功能。 受影响的产品版本 1.包括Adobe Flash Player桌面运行时（Windows，macOS和Linux），适用于Google Chrome的Adobe Flash Player（适用于Windows，macOS，Linux和Chrome OS）以及适用于Microsoft Edge / Internet Explorer 11（适用于Windows 10和8.1）的Adobe Flash Player，均适用于32.0版.0.330及更早版本。 2.适用于Windows的Adobe Framemaker版本2019.0.5及更低版本。 升级修复版本 Adobe Flash Player更新到32.0.0.387版本，加强安全性。该版本除了修复最近爆出的漏洞，还可以解决历史上风险较高的产品中的漏洞。 Adobe Framemaker版本升级到2019.0.6版本或最新版本。 其他漏洞 Adobe还修补了与Experience Manager（其用于构建网站，移动应用程序和表格的内容管理平台）中的六个重要级别的漏洞。这些包括可能允许敏感信息泄露的服务器端请求伪造故障（CVE-2020-9643和CVE-2020-9645）和跨站点脚本漏洞（CVE-2020-9647，CVE-2020-9648，CVE-2020 -9651和CVE-2020-9644），可以在浏览器中启用任意JavaScript执行。 受影响的产品版本 Adobe Experience Manager (AEM)所有平台6.5版本 升级修复版本 建议所有用户迅速更新到AEM 最新版本（目前最新版本为：6.5.5.0），加强安全性。 （稿源：TechWeb，封面源自网络。）