‎数百万美国人的个人数据被泄露

‎据‎‎The Register报道‎‎,一个Twitter名为‎‎@Lynx0x00的白帽黑客‎‎识别了一个数据库,该数据库承载了超过5625万美国人的个人敏感数据。该数据库使用位于中国东部地区杭州的IP地址存储在中国的计算机上。

‎据黑客称,NoSQL数据库规模庞大,它包含大约 22GB 的私人数据,其中包括敏感信息,包括过去和现在的家庭地址、真实姓名、年龄、关系以及电话号码。更糟糕的是,该数据库无需任何身份验证仍可公开访问。

经过进一步挖掘,发现该计算机是通过阿里云提供的网络托管服务链接到Internet的。 之所以称其为严重的安全隐患,是因为即使研究人员也对信息为何存储在中国计算机上并可以自由访问而感到困惑,这给垃圾邮件制造者和敲诈勒索者提供了利用这些信息的机会。

数据属于佛罗里达州的CheckPeople.com公司。该公司提供了一个“易于使用的平台”,可以帮助人们查找有关任何人的信息,从真实姓名,电话号码到亲戚甚至重罪记录,收取象征性的费用。 但是,现在您不需要访问此网站并付费即可获得所需的信息,因为整个数据现在都可以在位于中国的计算机上访问了。

在给The Register的声明中,CheckPeople称正在调查此事件。“CheckPeople不知道在中国或通过阿里云托管的任何数据库。 CheckPeople的记录存储在美国的安全服务器上。 但是,CheckPeople非常重视安全性问题,并正在对此事进行调查。”

这并不是第一次以这种方式存储和暴露不知情用户的个人数据。 实际上,自2017年以来,数百万美国人的个人详细信息已在网上泄露,包括1.23亿个人的家庭相关数据,Elasticsearch泄露事件中的8,200万公民数据以及Microsoft Azure泄露事件中数百万美国人信息的数百万条短信。

谷歌黑客成功利用远程漏洞破解iPhone

从执法机构到黑客公司每个人都想破解iPhone。自去年以来,苹果的主要竞争对手谷歌一直在通过发现和利用关键漏洞来侵入iPhone设备。

最近,谷歌Project Zero的白帽黑客团队发现了可利用的缺陷,以破解目标iPhone设备。

根据Project Zero团队的塞缪尔格罗描述,无点击漏洞不要求受害者点击恶意链接感染他们的设备,攻击者只需要目标iPhone的Apple ID就可以远程侵入手机。

黑客只需几分钟即可从手机中窃取数据,包括密码、电子邮件和短信,以及启用麦克风和摄像头等其他功能。所有这一切都未经用户许可或知晓。

用于实施攻击的漏洞被归类为CVE-2019-8641。这是一个远程内存错误漏洞,最初是由格罗本人在早些时候的一个项目中与谷歌Project Zero团队的另一位安全研究员娜塔莉·席尔瓦诺维奇合作发现的。

该项目于2019年7月完成,8月发布。该漏洞由苹果公司首先在iOS 12.4 中修复,更新于 8月26日发布版本中。第二次更新是在解决Project Zero团队发现的另一个iMessage漏洞时,该更新于10 月28日随iOS 13.2发布。

尽管如此,格罗希望苹果能在他的研究的基础上实施新的安全措施,并保护iPhone用户免受这些漏洞的侵害。

由于该漏洞已得到修复,因此只有在未更新iPhone或iPad上的iOS的情况下,您的设备才有风险。 但是,您要注意的是不要与任何人共享您的Apple ID,并且万一您的Apple ID出了问题,请备份数据,考虑制作一个新ID并保留给自己。

全球外币兑换机构 Travelex 被黑客勒索

‎全球外币兑换服务商 Travelex(通济隆)被使用 Sodinokibi(又名 REvil)勒索软件的网络攻击者袭击,要求 600 万美元(460 万英镑)。一个多星期后,尽管公司努力了补救,但该公司的网站和在线服务仍然处于离线状态。‎

travelex1

‎勒索软件团伙Sodinokibi(也称REvil)表示,已经下载了超过5GB的敏感客户数据,包括出生日期、信用卡信息和国家保险号码,如果一周内没有付款,将公布这些数据。黑客最初要求300万美元,但在两天不付款后,金额翻了一倍。‎攻击者声称在过去六个月中进入公司的计算机网络,从而可以下载客户数据。‎

‎攻击发生在除夕夜,当时许多员工正在休假,之后,该公司在欧洲、亚洲和美国的网站上展示了”计划维护”信息,以便”遏制病毒并保护数据”。该消息已改为官方新闻稿,其中 Travelex 说,虽然”它尚未全面了解已加密的所有数据,但迄今仍没有证据表明任何数据已被泄露。‎

‎”在完成补救过程的遏制阶段后,详细的取证分析已全面展开,公司目前正在致力于恢复所有系统。迄今为止,Travelex 已经能够恢复许多正常运行复许多内部系统正常运行。‎

‎英国信息专员办公室 (ICO) 尚未收到该公司的数据泄露报告,并且客户也没有在攻击前从 Travelex 订购货币并付费但无法兑换的问题。‎

‎Wyze 摄像机安全漏洞导致240 万用户的个人信息被曝光‎

Wyze 摄像机的安全漏洞已经导致超过240万用户的大量个人数据被泄露。漏洞发现者TwelveSecurity说:“从来没有遇到过如此严重的数据泄露”。该公司的两个生产数据库都完全开放在互联网上,结果,240万用户产生的大量敏感信息被泄露。

泄露的数据包括以下内容:

  • 购买摄像机并将摄像机联接到家中的用户的用户名和邮件
  • 240 万用户中 24% 位于 EST 时区(其余用户分散在美国、英国、阿联酋、埃及和马来西亚部分地区的其余区域)
  • 与家庭成员共享过摄像机访问的任何用户的电子邮件
  • 家中所有摄像机的列表、每个摄像机的昵称、设备型号和固件版本
  • WiFi SSID,内部子网布局,相机最后一次按时登录,从应用最后一次登录时间,从应用程序最后一次注销时间
  • API令牌,用于从任何 iOS 或 Android 设备访问用户帐户
  • Alexa令牌,适用于将Alexa设备连接到Wyze摄像机的 24,000名用户
  • 部分用户的身高、体重、性别、骨密度、骨量、每日蛋白质摄入量和其他健康信息

Wyze已经证实了泄漏。我们确认一些Wyze用户数据没有正确保护,并在12月4日至12月26日暴露。我们从主要生产服务器复制了一些数据,并将其放入一个更灵活的数据库,更易于查询。此新数据表在最初创建时受到保护。但是,12月4日,Wyze员工在使用此数据库时犯了一个错误,并且删除了以前用于此数据的安全策略。我们仍在调查这一事件,以找出为什么和如何发生这种情况。

该漏洞始于 12 月 4 日,并不涉及我们的任何生产数据表。虽然重要,但此数据库仅包含数据子集。它不包含用户密码或政府监管的个人或财务信息。它确实包含客户电子邮件以及相机昵称、WiFi SSID、Wyze 设备信息、少量产品测试仪的车身指标以及与 Alexa 集成相关的有限令牌。

伊朗黑客侵入美国政府和非洲银行的网站

一群由“伊朗网络安全团体黑客”(Iran Cyber Security Group Hackers)负责的伊朗黑客入侵并破坏了美国联邦图书馆图书馆计划(FDLP)的官方网站,并替换了其主页。

该事件发生在1月4日,在同一天,另一群自称为“盾牌伊朗”的伊朗黑客将目标对准塞拉利昂商业银行(slcb.com),并在首页上放了一张伊朗伊斯兰革命卫队少将卡西姆·苏莱曼尼的照片。他于2020年1月3日在伊拉克巴格达的一次针对性无人机袭击中丧生。

iranian-hackers-1

‎此外,由于受黑客入侵,这两个网站显示支持伊朗和反对美国政府的信息。‎此外,遭入侵的美国联邦图书馆图书馆计划网站上的插图之一显示美国总统特朗普受到了猛烈攻击。

iranian-hackers-2

黑客留下信息誓言要继续支持该地区的被压迫人民。

‎我们不会停止支持我们在该地区的朋友;被压迫的巴勒斯坦人民、被压迫的也门人民、叙利亚人民和政府、伊拉克人民和政府、被压迫的巴林人民、黎巴嫩和巴勒斯坦真正的圣战者抵抗运动,[他们]将得到我们的支持。‎

美国国土安全部已经承认了黑客攻击,并发表了以下声明:‎

‎‎我们知道FDLP的网站被亲伊朗、反美的黑客入侵了。目前,没有证实这是伊朗国家支持的行为。该网站已离线,无法再访问。CISA(网络安全和基础设施安全机构)正在与FDLP和我们的联邦合作伙伴一起监控情况。‎