标签: 法国

Tiktok 又受挫,因无法轻易拒绝 Cookie 在法国被罚 500 万欧元

据Security Affairs消息,法国数据保护监管机构因违反 Cookie 同意规则而对短视频平台 TikTok 处以500 万欧元(约540万美元)罚款。 法国国家信息和自由委员会 (CNIL) 声称,Tiktok没有提供像“一键接受”Cookie跟踪那样提供“一键拒绝”的选项,平台也未能充分告知用户不同 Cookie 的使用目的,从而违反了法国数据保护法 (DPA) 第 82 条,这也是一项符合整个欧盟实施的 GDPR(通用数据保护条例)框架的国家法规。 据悉,此次判罚源自2020 年 5 月至 2022 年 6 月期间对TikTok网站的审查,CNIL 发现,用户必须执行几次比较繁琐的点击操作才能拒绝所有 Cookie,而不像一键“全部接受”那样容易,从而自然导致 TikTok 网站上的大多数访问者点击“全部接受”按钮。尽管 CNIL 多次向 TikTok 发出警告,但TikTok直到 2022 年 2 月才实施“全部拒绝”按钮,并将其置于显著位置。 即便如此,CNIL 也认为TikTok对 Cookie的使用目的的描述也不够充分,用户点击相关选项仍然没有获得有关 Cookie 用途足够详细的信息。 其实近段时间以来,CNIL已对多家违反相关法律规定的巨头企业进行了罚款。2022 年 12 月,CNIL对苹果处以了800 万欧元(约870万美元)的罚款,原因是在其终端上存放或写入用于广告目的的标识符未征得 iPhone 法国用户(iOS 14.6 版本)的同意。而在更早前,Facebook 和谷歌也因未显著提供拒绝跟踪Cookie的选项而被分别处以 6000 万欧元(6800 万美元)和 1.5 亿欧元(1.7 亿美元)的罚款。     转自 Freebuf,原文链接:https://www.freebuf.com/news/355331.html 封面来源于网络,如有侵权请联系删除

法国首都一医院遭勒索软件攻击:急诊被迫停业,赎金 1000 万美元

安全内参8月24日消息,距巴黎市中心28公里,拥有1000张床位的Center Hospitalier Sud Francilien(简称CHSF)医院上周日(8月21日)遭遇网络攻击,迫使其将患者转诊至其他机构,并推迟了手术预约。 CHSF为当地60万居民提供诊疗服务,因此任何运营中断,都有可能给身处危急关头的病患造成健康甚至是生命威胁。 经谷歌翻译,CHSF发布的公告称,“此次计算机网络攻击,导致我院业务软件、存储系统(特别是医学影像)及与患者入院相关的信息系统暂时无法访问。” 该医院的管理部门尚未发布进一步事态更新,目前IT系统中断引发的运营紧缺也仍未结束。 CHSF的医生们已经在对需要紧急护理的病患进行评估,如果迫切需要医学影像诊疗,病患们将被转移至另一处医疗中心。 法媒《世界报》称,攻击CHSF的勒索软件团伙要求受害者支付1000万美元以换取解密密钥。 一位警方消息人士向《世界报》透露,“目前,巴黎检察官办公室旗下的网络犯罪部门,已经启动了对这一入侵计算机系统,并企图实施勒索的有组织黑客团伙的调查”,由“调查工作由打击数字犯罪中心(C3N)的宪兵负责。” 幕后黑手或为LockBit 3.0 法国网络安全记者Valéry Riess-Marchive在事件中发现了LockBit 3.0感染的迹象,并提到介入调查的国家宪兵也正在负责追踪Ragnar Locker和LockBit。 Riess-Marchive表示,根据Ragnar Locker以往只向大规模关键基础设施目标下手的特点,这次事件应该不是其所为。相比之下,LockBit 3.0的攻击目标则要广泛得多。 如果LockBit 3.0确实就是CHSF攻击事件的幕后黑手,那他们就违反了RaaS的“行规”,即不得由附属组织向医疗保健服务商的系统发动加密攻击。 目前,这场事端究竟是谁所为还不明确,LockBit 3.0的勒索网站上也还没挂出CHSF的信息,所以前面的一切分析仍然只是假设。 转自 安全内参,原文链接:https://www.secrss.com/articles/46196 封面来源于网络,如有侵权请联系删除

法国“白帽”黑客:印度政府的定位程序存漏洞 9000 万人隐私受威胁

北京时间5月6日消息,一位化名为奥尔德森(Elliot Alderson)的法国黑客日前在Twitter上表示,其发现了印度政府“Aarogya Setu”新型冠状病毒追踪APP的安全问题,这可能会危及9000万印度人的隐私。作为一名有良心的黑客,奥尔德森已经将这个问题“标记”发送至印度计算机应急响应小组(CERT)和隶属于印度电子和信息技术部的国家信息中心(NIC)。 奥尔德森早先还曝光了印度政府“mAadhar”安卓应用程序的问题。 周二,奥尔德森在Twitter上声称,他发现了Aarogya Setu应用程序的一个安全问题,并要求印度政府私下联系他,以便向当局详细披露。印度政府很快联系了这名黑客,了解相关情况。奥尔德森现在正在等待这一问题的解决方案,如果印度政府解决不了,那么按照“白帽”黑客的核心原则,他将公开披露这一问题。 印度政府确实在昨晚凌晨对黑客的推特做出了详细的回应。但奥尔德森仍在等待政府出手修复,用他的话来说,印度政府的回应基本上是“(这里)没什么问题啊”。换句话说,按照印度政府的说法,Aarogya Setu一切正常。 Aarogya Setu的制作者回应称:“这位黑客没有证明用户的个人信息处于危险之中。我们一直在测试和升级该系统。Aarogya Setu团队向所有人保证,没有发现任何数据或安全漏洞。” 奥尔德森已经在推特上宣布,若这个问题得不到修复,他将于今天公布更多信息。 与此同时,奥尔德森不是唯一一个在隐私方面向Aarogya Setu提出警告的人。位于新德里的软件自由法律中心(Software Freedom Law Centre)声称,这个应用程序会收集如性别和旅行记录等敏感的用户数据。互联网自由基金会(IFF)也宣称Aarogya Setu缺乏透明度。 这类问题特别严重,需要深入研究,因为即使Aarogya Setu看起来是一个“自愿安装”的应用程序,但它每天都在变得越来越“强制”。按照印度警方的最新要求,在诺伊达和大诺伊达这些地方如果没有在手机上安装这个程序,甚至会面临处罚。 印度政府还要求公共和私营部门雇员把它安装在智能手机上。印度内政部最近的一项指令要求:“所有员工都必须使用Aarogya Setu应用程序,包括私人部门和公共部门的员工。各机构负责人有责任确保该应用程序在员工中的覆盖率达到100%。”所以可以说,Aarogya Setu已经是印度中央政府雇员以及居住在隔离区居民的必装软件。   (稿源:凤凰网科技,封面源自网络。)

在修复“最后一刻”漏洞后 法国推出政府聊天应用程序Tchap

据外媒Engadget报道,法国已经按其此前所承诺的那样推出一个安全的政府专用聊天应用程序。该国推出了一个测试版的Tchap,这是一个消息应用程序,可帮助官员通过Android、iOS和网络相互通信。据报道,它们的安全性比现有的应用程序更高。 所有私人会话都是端到端加密的,防病毒软件会筛选所有附件,所有数据都存储在法国。但是,用户只需要一个法国政府的电子邮件地址即可注册。 安全研究员“Elliot Alderson”(又名Baptiste Robert)发现,Tchap的电子邮件地址检查并不像预期的那样严格。他只是通过将@ elysee.fr(总统府)地址附加到他打算使用的电子邮件地址的末尾来成功注册 – 它将验证电子邮件发送到他的实际帐户。从那里,他可以看到公众聊天,理论上开始与政府工作人员交谈。 研究人员与法国政府及Tchap核心的开源Riot软件背后团队Matrix联系。Matrix 在推出之前及时修复了问题,防止了潜在的尴尬。 法国政府数字机构DINSIC承诺,Tchap将在安全性和功能性方面进行“持续改进”。它将最后一刻的修复视为该方法的证据,并计划启动一个bug奖励计划来激励安全专家。     (稿源:cnBeta,封面源自网络。)

谷歌违反通用数据保护条例遭法国当局罚款 5000 万欧元

讯 北京时间1月22日凌晨消息,谷歌已因违反“通用数据保护条例”(GDPR)而被法国数据保护监管机构处以5000万欧元(约合5680万美元)罚款,这对马克斯·施雷姆斯(Max Schrems)旗下隐私集团NOYB来说是一场胜利。 法国国家互联网信息中心(以下简称“CNIL”)今日裁定,谷歌向用户提供了不充分的信息,在多个页面上分散提供信息,而且并未在广告个性化的问题上获得有效许可。 CNIL对NOYB和法国数字版权组织La Quadrature du Net提出的投诉作出了反应,称其已对通过Android设备开设谷歌账户的流程进行了调查。这个监管机构作出的结论是,谷歌在两个方面违反了“通用数据保护条例”:一是未满足透明度和信息相关要求,二是没有为其处理流程获得法律依据。 根据这项条例,违规公司可被处以最高2000万欧元或相当于年度营业额4%的罚款,而CNIL已经行使了这种新的权力,向谷歌开出了5000万欧元的罚单。 CNIL发表声明称,谷歌在信息披露的问题上缺乏透明度,并指出用户无法了解谷歌“大规模的、侵入性的”数据处理达到了什么样的程度。声明还称,即便是谷歌已经提供的信息,“对用户来说也是不易获得的”,原因是这些信息“过度分散于多个文件中”,需要用户经过五六个步骤才能访问。 “举例来说,就谷歌出于个性化目的或为了提供地理追踪服务而收集的数据而言,当用户想要获得有关这些数据的完整信息时,就会发生这种情况。”声明写道。 除此以外,CNIL还表示,用户“无法完全了解”谷歌对用户数据进行处理的程度。鉴于谷歌提供的服务多达20项,加之这些服务所涉及的用户数据十分庞大,因此CNIL将谷歌的数据处理描述为“大规模的、侵入性的”。CNIL还补充道:“谷歌对数据处理目的作出的描述过于笼统和模糊,而就谷歌为不同目的而处理的数据类别而言,情况也是如此。 ” 与此同时,用户也无法了解谷歌到底是将用户许可作为法律依据来根据“通用数据保护条例”处理数据,还是根据公司自身利益来处理数据。 根据CNIL作出的评估,谷歌为广告个性化而收集的用户许可是无效的,因为这种许可不是具体而明确的,而且用户也并未获得充分的通知。 CNIL表示:“有关广告个性化数据处理的信息被分散到了多个文件中,这就使得用户无法了解其程度如何。” 该机构承认,在用户创建帐户之后,可以对其进行一些修改,但同时指出“这并不意味着‘通用数据保护条例’受到了尊重”。相反的,CNIL指出,不仅用户修改数据的选项被隐藏在了“更多选项”(more options)按钮之下,而且广告个性化的选择是一个预先打勾的方框(这就违反了“通用数据保护条例”的规定,因为只有在用户明确作出肯定之后,许可才能被视为明确无误的)。 CNIL还指出,用户许可不够具体,因为谷歌要求用户必须完全同意隐私政策中的服务条款和数据处理条款,而非区分各种不同目的(如广告个性化或语音识别等)来同意各项条款。 这是一家公司因数据保护违规行为而被处以的最大一笔罚款,同时也是CNIL采取的第一次处罚行动。该机构称,这笔罚款“就其违规行为的严重程度来看是合理的”。CNIL指出:“此外,这些违规行为是持续违反‘通用数据保护条例’的行为,因为直到今天,我们还能看到这种行为。这不是一次性的、时间有限的违规行为。“ 在“通用数据保护条例”正式生效之后,到目前为止已经处以的罚款金额都要小得多:德国当局此前对一个聊天应用处以2万欧元(约合2.3万美元)罚款,奥地利当局针对CCTV被非法使用一事处以4800欧元(约合5460万美元)罚款,葡萄牙当局则已对一家亿元处以40万欧元(约合45万美元)罚款,原因是其允许员工非法获取数据。 NOYB董事长施雷姆斯对此表示欢迎。“像谷歌这样的大公司惯于‘以不同的方式解读法律’,而且往往只会在表面上修改自己的产品。”他说道。“当局应该明确表示,光是自称做到了合规是不够的,这一点很重要。” 谷歌尚未就此置评。   稿源:,稿件以及封面源自网络;

法国德国财长呼吁:取缔比特币等加密货币

北京时间 2 月 11 日上午消息,法国与德国财政部长及资深央行高官都站出来力挺政治家、监管者,要求取缔比特币及其它虚拟货币。在一封给 G20 成员国财政部长的信件中,法国、德国认为数字代币 “ 可能会给投资者造成严重威胁 ”,甚至有可能影响金融系统的长期稳定。 法国财政部长布鲁诺·勒梅尔(Bruno le Maire)、德国代理财政部长彼得·阿尔特迈尔(Peter Altmaier)、法国央行行长德加诺(Fran?ois Villeroy de Galhau)和德国中央银行行长延斯·魏德曼(Jens Weidmann)都在信上签名。 就在几天前,一些地区的监管者开始干预虚拟货币交易,比如国际清算银行(BIS)、欧洲中央银行、香港证券及期货事务监察委员会。欧洲中央银行理事伊夫·梅尔施(Yves Mersch)周四曾说,虚拟货币不是钱,在可预见的未来也不会成为期货;法国德国显然也抱有相同的看法。信件还说,媒体与互联网将虚拟货币称为“货币”显然贴错了标签,对代币的属性缺乏清晰的解释只会助长投机行为。 两国财长还认同梅尔施的看法,说加密货币目前对全球金融稳定造成的影响很有限,不过以此作为基础,代币市值快速膨胀,新金融工具涌现,应该密切关注市场动向。对于散户投资加密货币,他们认为应该加强保护,个人投资者涌入极不稳定的新市场,由于对风险理解不足,被误导的投资者可能会蒙受巨大损失。 信件还说,从更广泛的角度来看,近年来各国推行许多政策,保护零散投资者和消费者,采取相应的措施保护代币投资者也是理所当然的,找不到拒绝的理由。对于底层区块链技术,两国都会寻找机会加以利用,不过对于加密货币及其它可能实用的技术,在使用时会划清界线,区别对待。 稿源:cnBeta,封面源自网络;

模糊水印“打码”照片并不安全:法国黑客复原 QR 码后获 1000 美元比特币钱包

据外媒报道,比特币企业家 Roger Ver 在法国电台接受采访时发布了一份有关比特币钱包的私人密钥和 QR 码作为观众奖品,并表示节目在播出后第一位访问该账户的人员可以转账并保留这笔奖金。当时,Ver 并不知道法国法律禁止电台播放账户私钥和 QR 码。因此,电台在未获取法院权限播出时模糊了 QR 码相关细节。 但是,这一消息还是立即引发了法国黑客与比特币爱好者的兴趣,他们开始寻找各种途径还原账户 QR 码,以获取这项观众奖金。不久,两名法国研究人员 Michel Sassano 和 Clement Storck 在率先复原了这个模糊的 QR 码后转走了比特币钱包中的 1000 美元。Michel Sassano 表示,他们共计耗费了 16 个小时对这个模糊的图像进行了逆向工程,并试图将模糊的点与 QR 码的标准格式联系起来,从而恢复了这份模糊的 QR 码图像。 由此可见,在社交网络上发布模糊的二维码或条形码图片是不安全的,因此研究人员建议用户在分享数据时,应使用完全的颜色块处理敏感细节,从而防止网络犯罪分子利用黑客工具获取其敏感信息。 详细分析报告:传送门 原文作者:Catalin Cimpanu,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

间谍软件 Babar 出现新变种,疑似由法国情报机构开发使用

HackerNews.cc 9 月 7 日消息,网络安全公司 Palo Alto Networks 研究人员近期发现黑客组织正利用一款恶意软件 Babar 新变种操控刚果民主共和国常设理事会(cpcc-rdc.org)官方网站,旨在破坏命令与控制(C&C)服务器、窃取国家重要信息。 Babar 是一款强大的间谍软件,不仅能够监控当前流行媒体平台(包括 Skype、MSN、Yahoo 等)的通讯记录,还可记录受害用户击键次数,窃取登录凭证等敏感信息。据斯诺登泄露的文件显示,Babar 此前曾被法国情报机构外部安全总指挥部(DGSE )用于监控伊朗核武器研究机构、欧洲知名企业的金融活动。 调查显示,法国黑客组织 Animal Farm 曾利用该恶意软件瞄准政府机构、军事承包商、媒体企业、私营公司展开攻击活动。然而 PaloAlto Networks 研究人员近期发表声明,宣称 Babar(也被称为 Snowball)最早可追溯至 2007 年。不过,卡巴斯基早于 2015 年就已得出该结论,但当初因缺乏证据并未分享任何相关细节。 研究人员在此次攻击活动中通过分析该恶意软件样本的加载程序发现其代码编译时间戳为 11/09/2007 11:37:36 PM。 研究人员注意到,该恶意软件新变种无法在默认的 Chrome 浏览器上收集信息。不过,Babar 变种新添另一功能,可以导致配置数据加密后以便攻击者以明文形式访问。研究人员通过分析其恶意软件代码与结构后认为,该变种可能由同一黑客组织开发。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

匿名攻击者向 7.11 亿电子邮件账户群发银行木马病毒 Ursnif

据外媒 8 月 29 日报道,法国安全研究人员近期在荷兰的一台 “ 开放且可访问 ” 的垃圾邮件服务器上发现一个庞大的数据库,其中包含逾 7.11 亿电子邮件地址,以及来自全球数百万个 SMTP 登录凭证。调查显示,匿名攻击者主要利用该批电子邮件账户群发银行木马病毒 Ursnif。 研究人员经调查发现,通常情况下垃圾邮件主要是为发布广告以获取流量收益, 但这次的垃圾邮件群发主要是为了盗取银行账号信息,即邮件冒充各种通知信件或订单确认信息等,诱骗受害者点击链接进入攻击者事先设置的钓鱼网站。与此同时,攻击者还利用该邮件传播木马病毒 Ursnif。目前,研究人员称全球超过 10 万台电脑已感染该病毒。 据悉,群发垃圾邮件进行广告营销或者钓鱼攻击本身不是新鲜事件,因绝大多数邮箱也会自动拦截这钓鱼邮件。但这次事件中的攻击者改变了策略:利用其它资料泄露事件暴露的正常邮箱分批群发垃圾邮件躲避拦截。网上现今仍可找到诸如 LinkedIn 等泄露的数据,其中很多用户的电子邮件账户密码至今还未进行更改。因此攻击者利用这些正常邮件账户群发垃圾邮件可有效躲避拦截,最终达到广告传播并进行钓鱼攻击的目的。 目前,基于安全考虑该事件的研究人员并未发布具体文件信息,而是联系了当地的执法部门迅速获取这些数据,之后将由执法部门继续追查服务器所有者以及背后操纵者真实身份。此外,研究人员强烈建议受影响用户当即更改密码并启用双重身份认证。 本文根据 thehackernews 与 蓝点网 联合翻译整理,编辑:青楚 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

法国公司 Fireworld 出售新间谍软件,可监控目标 Facebook 帐号是否访问同性网站

据外媒报道,法国公司 Fireworld 近期在推出监控软件后备受谴责,因该公司推出了一款能够帮助用户入侵并监控目标 Facebook 帐号是否访问同性网站的间谍软件。 据 BBC 报道,Fireworld 在推出该软件时发布的一篇文章,还配上了一张《少狼》“ 队长 ” 科尔顿·海恩斯(Colton Haynes)的照片,他在去年宣布出柜。海恩斯曾透露,他的父亲因为他是名同性恋而自杀。Fireworld 于 21 日发布的这篇文章被法国青年 LGBT 权利组织 L’Amicale des jeunes du Refuge 发现,并在 Twitter 传播。 法国国务卿 MarlèneSchiappa 转发了权利组的推文,并补充说:“同性恋歧视与性别歧视根源在同一性别刻板印象上,我们将平等对待他们。随后,Fireworld 删除了这篇文章。Fireworld 发言人表示,“我们为造成的苦恼和伤害表示歉意 ”。他表示,内容仅仅是为了提升网站的搜索引擎优化,“不是被人们阅读”。这名发言人补充说:“我们应该更多地考虑到后果。” 稿源:cnBeta,封面源自网络;