HackerNews 编译，转载请注明出处： 一名 27 岁的伊利诺伊州男子对涉及入侵约 600 名女性 Snapchat 账号的多项黑客相关指控认罪。 伊利诺伊州奥斯威戈市的 Kyle Svara 在承认犯有严重身份盗窃、电信诈骗、计算机欺诈、共谋实施计算机欺诈以及与儿童色情制品相关的虚假陈述等罪名后，面临数十年的监禁。 他的量刑定于5月18日进行，这些指控累计最高可判处32年监禁。 Svara 于去年12月被指控使用社会工程学攻击和其他方法，获取年轻女性和女童的 Snapchat 账户访问权限。 2020 至 2021 年，他伪装成 Snapchat 工作人员，联系 570 名女性索要其初步入侵时触发的安全访问码。他使用这些验证码入侵至少 59 名女性的账号，并下载其裸照或半裸照。随后，他在网上出售这些图像，并在互联网论坛上与其他人交换。 Svara 在网上向他人兜售其攻击手段，提供付费入侵他人 Snapchat 账号的服务。 至少有一次，他受雇于东北大学前田径教练 Steve Waithe，入侵该队女性成员或个人认识的其他女性的Snapchat账户。Waithe 此后已被定罪，并因电信诈骗和网络跟踪罪被判处五年监禁。 Svara 还被其他几人雇用入侵女性账户，同时也针对伊利诺伊州普莱恩菲尔德市及缅因州沃特维尔市科尔比学院的女性和女童下手。 当调查人员追问他的行为时，Svara 最初撒谎，否认访问或出售儿童性虐待材料。联邦调查局和司法部敦促任何可能受到 Svara 行为影响的受害者主动报案。 去年，美国司法部起诉一名密歇根大学前橄榄球助理教练，其入侵超 100 所高校的学生运动员数据库，获取约 15 万人的医疗信息。 检方称，韦斯入侵了 2000 余名目标运动员的社交媒体、邮箱及 / 或云存储账号，还入侵了全美高校另外 1300 名学生及校友的相关账号。 起诉书显示：“韦斯主要针对大学女运动员，其根据院校归属、运动经历及外貌特征筛选并锁定目标。”“其作案目的是获取仅愿与亲密伴侣分享的私密照片和视频。” 消息来源:therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 苹果即将上线一项新功能，部分 iPhone 用户可通过该功能阻止蜂窝网络采集自身精准位置信息，从而提升执法机构及黑客定位用户实时位置的难度。 近年来，执法机构愈发频繁地传唤蜂窝运营商，调取手机用户的历史及实时行踪记录。 该新功能不会影响用户向应急救援人员共享位置信息，也不会限制用户自主向各类应用授权共享位置数据。 该功能初期将面向运行 iOS 26.3 或更高版本的 iPhone Air、iPhone 16e 以及 iPad Pro (M5) Wi-Fi + Cellular 机型用户开放。 “蜂窝网络可根据您的设备所连接的基站来判断您的位置，”苹果在周一发布的博客文章中说明。 根据博文介绍，开启此功能后，蜂窝网络将仅能识别“您设备所在的大致区域，而无法获得更精确的位置信息（例如具体街道地址）”。 苹果虽未明确阐述推出此功能的具体缘由，但该公司近年来持续将自身塑造为消费者隐私保护的领军者，并通过一系列更新赋予用户对其个人数据更大的控制权。 消息来源: therecord.media： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 美国驻印度大使馆宣布，申请F类（学生签证）、M类（职业培训签证）及J类（访问学者签证）的非移民签证申请人须将其社交媒体账户设为公开状态。新规旨在协助官员依据美国法律核实申请人身份及入境资格，使馆强调“每项签证审查都是国家安全决策”。 即日起生效的强制要求规定：所有申请上述签证的印度学生、职业培训生及交流访问学者，必须在提交签证申请前将所有个人社交媒体账户隐私设置调整为“公开”，以便官方开展身份核验与入境许可审查。若拒绝公开账户，可能构成拒签依据。 使馆声明指出，美国自2019年起已要求移民/非移民签证申请人提供社交媒体标识符。审查过程中将运用任何“可用”信息甄别不符合入境条件者，包括威胁国家安全人员，但未具体说明审查细则。 该政策正在全球多国同步推行。例如美国驻墨西哥大使馆要求申请人申报近五年使用过的所有社交媒体账号。此次调整源于特朗普政府数周前指令——全球使领馆曾暂停学生签证预约以扩大社交媒体审查范围，上周国务院重启流程时新增账户公开审查要求。 国务院最终声明明确：“美国必须在签证发放过程中保持警惕，确保申请人无伤害美国公民及国家利益的意图，并能可信证明其符合签证资格及入境目的。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现，助眠类iOS应用《Sleep Journey: Insomnia Helper》因配置错误导致数万用户隐私泄露，涉及姓名、饮酒习惯等敏感数据。该应用由塞浦路斯注册公司Fitsia Holdings Limited运营，因开发人员错误配置Firebase数据库服务器，超过25,000条用户记录可被公开访问。由于Firebase作为临时数据库的特性，实际泄露规模可能远超当前可见数据量。 泄露信息包含多维敏感内容： 身份信息：用户真实姓名、电子邮箱、出生日期、性别 健康数据：睡眠监测记录、尼古丁与酒精摄入量、睡前活动模式、药物使用情况 行为轨迹：应用使用过程中生成的交互日志 研究团队指出，攻击者可利用泄露数据实施精准钓鱼攻击、凭证填充攻击或社会工程操纵。更严重的是，应用客户端代码中暴露了API密钥、Google应用ID、存储空间凭证等核心密钥，理论上允许攻击者绕过认证系统直接访问用户设备数据，甚至操控第三方服务实施资源滥用。 此次事件是iOS应用安全问题的又一典型案例。Cybernews团队近期扫描App Store 15.6万款应用发现，71%的应用存在至少一项密钥泄露问题，平均每款应用暴露5.2个敏感凭证。此前已有多款涉及小众社交通讯的应用被曝泄露用户私密照片。 安全专家建议采取分层修复措施： 对Firebase数据库启用基于角色的访问控制，限制未授权访问。 将硬编码密钥迁移至服务器端，通过代理网关管理服务调用。 在开发流程中集成静态代码分析工具，自动检测密钥暴露风险。 该漏洞于2025年1月7日被发现，研究团队于1月15日通报涉事企业，并于2月11日提交计算机应急响应组。截至目前，Fitsia Holdings Limited尚未就事件作出公开回应。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌于周二透露，作为其“隐私沙盒”（Privacy Sandbox）计划的一部分，将不再于Chrome浏览器中为第三方Cookie提供独立提示。 谷歌隐私沙盒副总裁安东尼·查韦斯（Anthony Chavez）表示：“我们已决定维持当前向Chrome用户提供第三方Cookie选择权的方案，不会推出新的独立第三方Cookie提示。用户仍可通过Chrome的隐私与安全设置选择最适合自己的选项。” 早在2024年7月，谷歌就表示已放弃逐步淘汰第三方跟踪Cookie的计划，转而推出一种新方案，让用户能够基于充分知情权做出选择。 谷歌称，来自出版商、开发者、监管机构和广告行业的反馈表明，对可能影响第三方Cookie可用性的调整存在“显著分歧”。 作为替代方案，谷歌表示将继续投入资源，增强Chrome隐身模式（默认屏蔽第三方Cookie）的跟踪防护功能，并计划在2025年第三季度推出新的“IP保护”功能。 该功能已作为开源项目发布，旨在限制隐身模式下用户原始IP地址在第三方场景中的暴露，防止跨站跟踪。 查韦斯指出：“基于此次更新，我们意识到隐私沙盒API可能在支持生态系统中承担不同角色。未来几个月，我们将与行业合作收集反馈，并分享包括未来投资方向在内的技术路线图更新。” 值得注意的是，尽管苹果Safari和Mozilla Firefox自2020年起已默认屏蔽第三方Cookie，但谷歌作为兼具浏览器厂商、广告平台和搜索引擎多重身份的竞争者，推行类似防护措施时面临更大阻力。 此次调整正值谷歌在美国面临严格监管审查之际。近期两项独立裁决指控该公司在搜索和广告市场维持垄断地位。 美国司法部上月提议通过剥离Chrome浏览器、强制谷歌将搜索结果分发给其他平台来恢复在线搜索市场的竞争。 据彭博社和路透社报道，若谷歌被迫出售Chrome，人工智能公司OpenAI表示有兴趣收购该浏览器，并“向用户展示以AI为核心的全新浏览器形态”。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 加利福尼亚州非营利健康保险机构蓝盾（Blue Shield of California）近日声明，因Google分析与广告平台配置错误导致470万会员的受保护健康信息泄露。该机构服务全州近600万会员，其官网发布的通报显示数据泄露时间为2021年4月至2024年1月。 美国卫生与公众服务部数据泄露门户网站更新信息证实，此次事件影响470万人的敏感健康数据。蓝盾表示，泄露源于部分官网Google Analytics配置错误，可能导致数据被共享至Google广告平台及第三方广告商。 官方声明指出：“2025年2月11日发现，2021年4月至2024年1月期间，Google Analytics配置允许将含受保护健康信息的会员数据共享至Google广告产品。Google可能利用这些数据对受影响会员实施精准广告投放。” 暴露数据类型包括： 保险计划名称、类型及团体编号 所在城市与邮政编码 性别与家庭规模 蓝盾会员账户识别码 医疗索赔服务日期、服务商名称、患者姓名及自付费用 “寻找医生”功能搜索条件与结果（含位置、计划信息、医疗提供方信息） 蓝盾强调社会安全号、驾照号、银行账户及信用卡信息未受影响，但仍建议会员密切监控账户动态与信用报告。目前机构未提供身份盗窃保护服务，尚不清楚是否会向受影响会员寄送个别通知。 这是加州蓝盾一年内披露的第二起重大网络安全事件。2024年该机构软件服务商Connexure（原Young Consulting）遭BlackSuit勒索软件组织入侵，导致近百万会员数据被盗。     消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Meta宣布将使用公开的欧盟用户数据来训练AI模型，恢复了去年因爱尔兰数据保护问题而暂停的计划。 Meta将开始使用欧盟成年人的公共数据来训练其AI模型，此前该计划因爱尔兰监管机构提出的数据保护问题于去年暂停。 2024年6月，这家社交媒体巨头宣布，应爱尔兰数据保护委员会（DPC）的要求，将推迟使用成年人在Facebook和Instagram上共享的公共内容对其大型语言模型（LLM）进行训练。 Meta对DPC的要求表示失望，公司指出这是“欧洲创新、AI开发竞争的倒退，将进一步延迟AI技术为欧洲民众带来的好处”。 “我们对爱尔兰数据保护委员会（DPC）作为欧洲数据保护机构（DPAs）牵头监管方提出的延迟训练要求感到失望，特别是我们已采纳监管反馈，且自3月起就持续向欧洲DPAs通报进展。”Meta在声明中表示，“这对欧洲创新、AI开发竞争是倒退之举，也将延后AI技术为欧洲民众带来的好处。” 该公司解释说，其人工智能，包括Llama LLM，已经在世界其他地区上市。Meta解释说，为了向其欧洲地区提供更好的服务，它需要就反映欧洲人民不同语言、地理和文化背景的相关信息对模型进行训练。出于这个原因，该公司最初计划使用其在欧盟的欧洲用户在其产品和服务上公开声明的内容来训练其大型语言模型。 Meta现在证实，它将恢复使用欧盟个人的公共数据训练其AI模型。 该公司发表的一篇帖子写道：“在欧盟，我们很快将开始训练我们的人工智能模型，了解人们在Meta上与人工智能的互动，以及成年人在Meta Products上共享的公共内容。”。“通过教授我们的生成式AI模型，更好地理解和反映他们的文化、语言和历史，这次培训将更好地支持欧洲数百万人和企业。” 该公司指出，欧盟用户可以选择反对将其公共数据用于AI训练的目的。从本周开始，欧盟用户将收到关于他们的数据被用于训练AI的通知，并可以随时选择反对。 Meta表示，他们不会使用人们与朋友和家人的私人信息来训练他们的生成AI模型。它还补充说，欧盟18岁以下人员账户中的公共数据不会用于训练目的。 “我们认为，我们有责任打造的 AI 不仅要让欧洲人能够使用，更要真正为他们而建。这就是为什么我们的生成式 AI 模型需要基于各种各样的数据进行训练，以便能够理解构成欧洲社区的那些令人惊叹的、丰富多样的细微差别和复杂性。”帖子总结道。“值得注意的是，我们正在进行的人工智能培训并不是Meta独有的，也不会是欧洲独有的。这就是我们自推出以来为其他地区训练生成式人工智能模型的方式。我们正在效仿包括谷歌和OpenAI在内的其他公司的榜样，这两家公司都已经使用欧洲用户的数据来训练他们的人工智能模型。我们很自豪我们的方法比许多行业同行更透明。”     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

美国人工智能医疗公司Confidant Health的服务器配置错误，泄露了5.3TB的敏感心理健康记录，其中包括个人信息、评估和医疗信息，对患者构成严重的隐私风险。事件源于vpnMentor的资深网络安全研究员Jeremiah Fowler发现的一个未受密码保护且配置错误的服务器，其中包含来自Confidant Health的机密记录。9月6日，Jeremiah Fowler通过博客文章披露了这一发现。Confidant Health是一家位于德克萨斯州的人工智能平台，为康涅狄格州、佛罗里达州、新罕布什尔州、德克萨斯州和弗吉尼亚州的居民提供心理健康和成瘾治疗服务。 Confidant Health提供一系列服务，包括酒精康复、在线丁丙诺啡诊所、成瘾前治疗、行为改变计划、康复教练、阿片类药物戒断管理和药物辅助治疗，并且拥有一个下载量超过10,000次的远程医疗成瘾康复应用程序。 此次事件中的数据库包含超过126,276个文件（约5.3TB）和170万条日志记录，暴露了以下敏感信息： 个人身份信息 (PII)：姓名、地址、联系方式、驾驶执照和保险信息。 心理健康评估：对患者的心理健康状况、家族史和创伤经历进行详细评估。 医疗记录：处方药清单、诊断测试结果、健康保险详情、医疗补助卡、医疗记录、治疗记录、列出处方药的护理信以及医疗记录请求或豁免。 音频和视频记录：它还包括会议的音频和视频记录和文本记录，讨论深入的个人家庭话题，包括孩子、父母、伴侣和冲突。 Fowler在9月6日发布消息之前与Hackread.com分享的一份报告中解释道，这些文件披露了心理治疗的入院记录和社会心理评估，详细说明了心理健康、药物滥用、家庭问题、精神病史、创伤史、医疗状况和其他诊断。 Confidant Health已承认数据泄露并限制访问。目前尚不清楚数据库是由 Confidant Health直接管理还是由第三方管理。暴露的持续时间和对配置错误的服务器的潜在访问仍不得而知。 “数据库中的文档并非全部被公开，部分文件受到限制，无法公开查看。然而，即使这些受限制文件中的数据无法查看，也存在恶意行为者知道其他患者数据的文件路径和存储位置的潜在风险，”Fowler指出。 类似因配置失当造成的数据库暴露或数据泄露屡见不鲜。2024年8月2日Jeremiah Fowler发现了13个配置错误的数据库，其中包含多达460万份文件，包括选民记录、选票和各种选举相关名单。暴露的数据似乎来自美国伊利诺伊州的一个县，无需任何密码或安全认证即可公开访问。他怀疑其他县可能无意中泄露了类似的数据，于是他替换了数据库格式中的县名，发现了总共13个可公开访问的数据库，以及另外15个不可公开访问的数据库。 网上咨询和治疗数据被网络犯罪分子滥用已有先例。2021年，《连线》杂志报道称，一家名为Vastaamo的心理健康初创公司提供易于使用的技术服务，并运营着芬兰最大的私人心理健康服务提供商网络。黑客入侵并下载了他们的整个客户数据库。接下来，犯罪分子联系了Vastaamo的首席执行官，要求支付40比特币（2020年为50万美元）作为赎金，否则他们每天将泄露100份患者记录。可见，健康数据本身对犯罪分子来说非常有价值，但如果再加上患者对其敏感的个人心理健康数据或药物滥用可能被曝光的担忧，则可能会增加勒索成功的风险。这些信息落入坏人之手，可能会产生深远而毁灭性的后果。 美国的医疗相关信息受 HIPAA（健康保险流通与责任法案）监管。该法案为敏感患者健康信息的保密性、安全性和保护制定了严格的标准。敏感患者数据的泄露会严重威胁其隐私，并可能导致各种负面后果，包括身份盗窃、医疗身份盗窃、敲诈勒索和勒索。犯罪分子可能会利用这些信息开设欺诈账户、提交虚假保险索赔、威胁患者泄露其心理健康信息并利用他们的弱点。 此次事件凸显了远程医疗行业中强有力的数据安全措施的重要性。关键措施可能包括加密、访问控制、定期安全审计、员工数据安全最佳实践培训以及全面的事件响应计划。随着远程医疗服务越来越受欢迎，提供商必须优先考虑患者的隐私和数据安全。   转自安全内参，原文链接：https://www.secrss.com/articles/69952 封面来源于网络，如有侵权请联系删除。

自 2023 年 6 月以来，中东和马来西亚的未具名政府实体成为名为 Tropic Trooper 的黑客组织精心策划的持续网络攻击的目标。 卡巴斯基安全研究员谢里夫·马格迪表示：“在中东重要政府机构，特别是与人权研究相关的机构中发现该组织的（战术、技术和程序），标志着他们的新战略举措。” 卡巴斯基研究人员表示，它在 2024 年 6 月发现了新版本的Web Shell，它在托管名为 Umbraco 的开源内容管理系统 (CMS) 的公共网络服务器上检测到了这一活动，该 Shell 是许多黑客共享的工具，用于远程访问受感染的服务器。 该攻击链旨在传递一个名为Crowdoor的恶意软件植入程序，这是 ESET 早在 2021 年 9 月记录的SparrowDoor后门的变种。 Tropic Trooper 又名 APT23、Earth Centaur、KeyBoy 和 Pirate Panda，据评估，该组织自 2011 年以来一直活跃，与另一个被追踪为 FamousSparrow 的入侵组织有着密切的联系。 人们怀疑这些 Web Shell 是通过利用可公开访问的 Web 应用程序中的已知安全漏洞来传递的，例如 Adobe ColdFusion（CVE-2023-26360）和 Microsoft Exchange Server（CVE-2021-34473、CVE-2021-34523和CVE-2021-31207）。 Crowdoor 于 2023 年 6 月首次被发现，它还可充当加载器来释放 Cobalt Strike 并在受感染的主机上保持持久性，同时还可充当后门来收集敏感信息、启动反向 shell、擦除其他恶意软件文件并终止自身。 “当攻击者意识到他们的后门被检测到时，他们会尝试上传更新的样本来逃避检测，从而增加了他们的新样本在不久的将来被发现的风险。”卡巴斯基研究人员指出，“此次入侵的重要意义在于，我们发现一名攻击者针对一个内容管理平台进行攻击，该平台发布有关中东人权的研究，特别关注以色列与哈马斯冲突的局势。我们对此次入侵的分析表明，整个系统是攻击的唯一目标，表明攻击是故意针对这一特定内容。”   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/qK_sGGP8JgGTTN5WiJ64Rg 封面来源于网络，如有侵权请联系删除。

日前，黑客HikkI-Chan在Breach论坛泄露了俄罗斯最大社交网站VK超过3.9亿用户个人数据。Hackread研究人员对黑客HikkI-Chan行径进行了梳理。。 HikkI-Chan虽然在Breach Forums上HikkI-Chan是一个相对较新的用户，但他们的首次攻击可以追溯到2024年3月15日。2024年3月15日，某暗网数据交易平台有人宣称正在售卖一份美国国防部（US DoD）数据。卖家于3月15日前后两次上传了共计399,373条数据。其中第一份数据包含姓名，电话，城市、职位、参加过的战争等字段，第二份数据包含姓名、电话、邮箱、地址等字段。卖家称两份数据的来源均是美国国防部官方网站。 黑客HikkI-Chan声称对两起网络攻击事件负责：一是针对以色列警方的攻击，二是针对以色列公共交通公司Kavim的攻击。 在VK数据泄露事件发生之前，黑客还在出售包含超过8000万土耳其人的个人信息和个人身份信息（PII）的土耳其公民数据。这8000万人的数据几乎涵盖了土耳其的全部人口。 黑客HikkI-Chan还涉嫌进行了两次显著的网络攻击事件。其一，黑客攻击了佛罗里达州金融监管办公室，导致8,639,326条记录在上周被泄露。还有一次，针对FBI文件的高度敏感的数据泄露事件，黑客将这次行动称为“Priser行动”。 HikkI-chan在Breach论坛上 黑客HikkI-Chan还声称他参与了一个秘密行动“Operation Pride”，这个行动成功侵入了政府的网络系统，并从中窃取了重要信息。但目前没有公开的资料可以证实这个行动的存在。此外，HikkI-Chan分享了有关该行动的信息，声称泄露的文件包括“打击恐怖主义数据、白宫邮件列表、FBI顶级员工（姓名、角色、位置）、联邦工作列表、FBI员工的图像等等”。   转自E安全，原文链接：https://mp.weixin.qq.com/s/3uBFoA7sS7H7PXeNfMcyGw 封面来源于网络，如有侵权请联系删除。