据英国路透社 7 月 18 日报道，联邦调查局（ FBI）于本周一向美国父母发出警告，孩子的联网玩具有泄露隐私的风险，存在安全隐患。 FBI 在其网站上发布警示，指出这些玩具可能含有一些部件或功能，如麦克风、摄像头、GPS、数据存储和语音识别等，都有可能泄露个人信息。与玩具的正常对话可能会泄露孩子的姓名、学校、好恶和参与的活动等信息。网络安全公司 Rapid7 研究主管托德•比尔兹利（Tod Beardsley）接受电话采访时说：“我认为这是联邦调查局第一次发出这样的警告，很多人都认为 FBI 是一个政府机构，所以这样做肯定会提高人们对联网玩具的风险意识。” 智能玩具和娱乐设备越来越受欢迎，因为它们结合了基于用户交互来学习和调整行为的技术。今年 2 月，德国禁止销售和持有由美国玩具公司“创世纪玩具”（Genesis Toys）所生产的一款名为凯拉的玩具娃娃，称黑客攻击的风险与该娃娃有关。德国联邦网络管理局建议已经为孩子购买了该娃娃的父母要毁掉它。 稿源：cnBeta、环球网，封面源自网络

据外媒 7 月 10 日报道，美国国土安全部（ DHS ）与联邦调查局（ FBI ）上周发布联合警报，指出黑客组织早于今年 5 月成功渗透美国等国核电站、工厂与能源设施的企业网络。 据《 纽约时报 》透露，由于该报告并未提供黑客攻击动机，因此调查人员尚未掌握足够证据证明攻击者是否完全掌控目标网络、访问控制系统，也暂时无法对黑客使用的恶意软件/工具进行隔离与分析。 调查显示，黑客组织多数情况下围绕具有关键工控系统直接访问权限的工程师展开网络钓鱼活动。一旦系统遭受破坏，可能导致工厂爆炸、火灾或危险物质泄露等安全事故。分析表明，黑客通过含有恶意软件的 Microsoft Word 文档窃取受害者登录凭据并在目标网络上进行横向传播。此外，黑客还利用安全漏洞攻击受害者访问的合法网站。 安全专家猜测，此类事件与境外政府资助的 APT 组织有关，攻击者策略、技术与流程（ TTP ）均效仿了以往入侵能源行业的 APT 组织，例如俄罗斯 Energetic Bear 等。目前，美国国土安全部（ DHS ）已将关键基础设施的网络攻击视为国家必须面对的头等安全挑战之一。 稿源：Pierluigi Paganini，译者：青楚，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

电子前沿基金会（ EFF ）于本月 7 日起诉美国司法部违反《 信息自由法案 》条例，并要求该机构公开发布联邦调查局（ FBI ）定期审查国家安全信函（ NSL ）禁令的相关记录。 EFF 表示，尽管美国国会在 2015 年就已要求 FBI 审查与终止不必要的 NSL 禁令，但目前仅有少数企业与个人公开披露接收 FBI 终止信函禁令通知。据悉，该起诉讼源于早期美国的一项裁决，即 2015 年 EFF 提出诉讼认为 NSL 禁令违反宪法，因此国会通过 NSL 改革要求 FBI 定期审查并终止不必要 NSL 禁令。目前，只有在 NSL 禁令解除后，企业才能接收公开认证通知。 EFF 在本次诉讼中指出，FBI 建立了一个记录保存系统的程序。当任意一个企业或个人 NSL 调查结束或到达三年期限时，系统会自动提醒进行重新审核。自 2003 年以来，FBI 已发布 50 万次 NSL 禁令。此前，FBI 除了回应没有 NSL 禁令审查记录外，还发表声明指出“无限期禁止使用 NSL 是一种过分监视权力的行为，它阻止了关于政府监控工具的讨论与争辩”。 原作者：Tom Spring，译者：青楚  本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

美国联邦调查局（ FBI ）于 6 月 3 日成功逮捕国家安全局（ NSA ）合同制泄密人员 Reality Leigh Winner，后者罪名为将政府机密信息匿名发送给美国新闻网站 The Intercept 。 The Intercept 根据机密文件于 6 月 5 日发布独家报告：2016 年美国总统大选前，俄罗斯黑客组织曾针对美国 100 多名地方官员与一家选举投票软件公司发动网络钓鱼攻击活动。不过，该文件并未指出黑客是否影响美国选举结果。 据悉，The Intercept 在 5 月 30 日收到该机密文件后立即与 NSA 取得联系并转交副本文件，以便在发布报告前征求政府意见。随后，FBI 官员立即展开调查。结果表明，Winner 并非直接电邮 pdf 文件至 The Intercept 邮箱，而是在对复印件进行扫描后发送至该网站。 然而，Winner 却没有料到多数新型打印机能够通过肉眼难以辨别的黄色点状标志记录文件于何时何地通过哪台设备打印。根据 The Intercept 提供的扫描文件截图，该机密文件打印于 2017 年 5 月 9 日 6:20，打印机型号 54，序列号 29535218。由此，NSA 可通过打印日志记录轻松调查跟踪到个人。 据调查，仅六名 NSA 雇员有权访问该份文档。在对这六名雇员的计算机展开调查后发现，只有 Winner 与 The Intercept 存在邮件往来。目前，Winner 将面临收集、传播或丢失国防信息的指控，一旦罪名成立将被判处十年监禁。 原作者：Mohit Kumar，译者：青楚 ，译审：游弋 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

电子前哨基金会( EFF )近日向哥伦比亚特区法院起诉 FBI 私自雇佣百思买员工搜查用户隐私信息，该非盈利机构在周三向 FBI 发起了信息自由法案诉讼，要求 FBI 披露更多相关事件信息，EFF 指称 FBI 在没有搜查令的情况下，自 2009 年开始培养并指使百思买 Geek Squad 服务的员工收集用户维修设备的隐私信息，并且向该员工支付费用的行为涉嫌违宪。 电子前哨基金会( EFF )在声明中称： EFF 长期意识到执法部门使用私募活动者，本案为百思买员工，实施未获得搜查令的隐私搜查行为，尽管宪法第四修正案明文规定警方不得亲自实施此类行为。本案的关键要点是这种私人搜查是否是牵涉政府的违宪行为。 稿源：cnBeta，封面源自网络

美国联邦调查局（ FBI ）通过 NSA 获得过许多数据，至于谁能够看到这些信息，通常有非常严格的保密措施。但一份新解密的文档显示，FBI 未能遵循这一指导方针，潜在将原始情报信息落入绝对不该被拿去使用的人们的手中。 Circa 报道称，根据最近的一项《外国情报监听法》（ FISA ）裁定，FBI 在数据共享方面有着一些坏习惯，其中提到该机构未能正确遵循为防止敏感信息落入坏人之手的 “ 最少流程 ” 。 法院判决中提到了至少两起独立的事件，涉及美国联邦调查局向私营承包商共享原始情报数据。这些承包商的角色和身份也被这项裁定给解密，但在当前的隐私规则之下，这是一个很明显的问题。 这起判决与 FBI 局长 James Comey 在本月早些时候向国会议员作出的声明有明显的冲突，当时他声称这些被该机构收集和使用的数据被 “ 仔细地监督和检查着 ”。 稿源：cnBeta；封面源自网络

针对 “ 俄罗斯黑客入侵民主党全国委员会、并影响了 2016 美国大选 ” 一事，联邦调查局（FBI）局长詹姆斯·科米（James Comey）在本周三的参议院小组委员会上再次发声。据《华盛顿邮报》报道，在回答来自南卡的共和党人、参议员林赛·格雷厄姆（Lindsey Graham）提问时，Comey 参议院司法委员会表示：“ 从他们的意图和能力来看，（俄罗斯）是地球上对美威胁最大的国家 ”。 两个月前，该机构给出了“俄罗斯黑客是否与现任总统 唐纳德·特朗普 的竞选团队有关联”的调查报告。因为大家普遍担心俄罗斯方面插手了白宫掌权者的争夺战。 Comey 还向明尼苏达共和党人、参议员艾米•克劳布查（Amy Klobuchar）表示：俄方联手‘通常难以被定义的’犯罪集团来入侵美国企业，对雅虎邮件系统的巨量泄露事件负有不可推卸的责任。 今年 4 月，美国中央情报局（CIA）局长麦克·蓬佩奥（Mike Pompeo）亦抨击俄罗斯军事情报机构‘利用维基解密来散播针对民主党全国委员会（DNC）的文档’。去年 10 月，维基解密公布了疑似来自希拉里·克林顿高级顾问 John Podesta 的私人邮件，此举被指导致了其竞选的失利。 稿源：cnBeta，封面源自网络

美国联邦调查局（ FBI ）称，恶意黑客可利用匿名文件传输协议（ FTP ）服务器漏洞入侵小型医疗机构与牙科诊所，获取医疗记录和其他敏感私人信息，并以此进行骚扰、恐吓、勒索甚至欺诈。 相应补救措施是删除服务器中所有个人身份信息（ PII ）与受保护的健康信息（ PHI ），将现有 FTP 替换为更安全的文件传输服务。然而，尽管将敏感数据存储在 FTP 服务器的风险众所周知，小型企业通常并不具备专业升级技术或动机。 匿名 FTP 无需身份验证即可访问服务器文件，建议仅使用此类服务器存储公开文件。匿名 FTP 扩展允许用户使用“ anoymous ”或“ ftp ”等常见用户名在无需提交密码、通用密码或电子邮件地址的情况下通过 FTP 服务器进行身份验证。 《健康保险流通与责任法案》（ HIPAA ）通过对违规者惩处罚金的方式对 PHI 进行保护。此外，《隐私法》与相关条例也通过类似方法对 PII 进行保护。 Globalscape 产品战略和技术联盟副总裁 Peter Merkulov 表示，PII 和 PHI 数据泄露的代价远远超过替换为更安全的文件传输服务和支持（如 SFTP 或 FTPS ）的成本。FTP 是一个早已过时的协议，即使在不匿名的模式下使用也极其危险。虽然现存数量较以往有所减少，但通常部署于多年前且从未进行过升级，甚至被遗忘。这种情况在大型组织机构尤为常见。 尽管如此，FBI 引用的《 2015 年度研究报告》仍显示，超过一百万台 FTP 服务器被配置为允许匿名访问。Merkulov推测 FBI 此举的动机源于实际调查工作中对 FTP 漏洞利用的发现。 摆脱匿名 FTP 服务其实十分简单，仅需花费数分钟更改服务器设置。如果根据访问服务器的客户端软件类型操作，整个过程会更复杂，需要对用户凭据和帐户进行设置。 原作者：Tim Greene，译者：青楚，校对：Liuf 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

根据 Bloomberg 的一份新报告表示，FBI 和私人安全人士指出，最近几个月，至少有 12 个美国自由团体被黑客勒索。黑客向这些团体展示已经被盗的电子邮件或云数据，并且威胁要支付赎金，要么让这些数据公之于众。根据彭博社的数据，赎金数额在 3 万到 15 万美元之间。 彭博名单中只有两个具名团体遭受威胁：美国进步中心和阿拉贝拉合作伙伴。虽然美国进步中心拒绝接受任何此类威胁，尚不清楚可能涉及的其他群体对勒索的反应。 由于涉及金钱，勒索企图通常与网络罪犯相关，而不是情报机构的行。然而，彭博社的消息来源称，这些攻击中使用的许多技术与以前 Cozy Bear 小组采用的技术类似，而后者和俄罗斯情报机构有关。私人网络安全小组以前报告了在选举之后对智囊团和非政府组织的一系列鱼叉式攻击，其中许多攻击也使用了 Cozy Bear 的技术和工具包。 稿源：cnBeta；封面源自网络

两个月里的第二次，为避免公开利用 Tor 漏洞的恶意程序源代码，FBI 放弃起诉另一名儿童色情嫌疑人。 2015 年，FBI 在扣押了运行在暗网的儿童色情网站 Playpen 服务器后，部署 NIT 恶意程序去发现 Tor 用户的真实身份，这些用户可能遍布全世界。美国司法部随后对一百多名美国公民提起了多项诉讼，指控他们持有儿童色情。但在一名儿童色情嫌疑人的辩护律师向法庭提出要求，寻求查看恶意程序的源代码，以了解 FBI 在识别用户身份时是否超出了其权限后，联邦检方放弃了起诉。 在最新这起案件中，联邦检方称披露源代码不是目前的选项。目前代表 FBI 的司法部仍然在起诉 135 名被指访问儿童色情网站的嫌疑人。 稿源：solidot 奇客；封面源自网络