GitHub 安全警告计划已检测出 400 多万个漏洞

Github 去年推出的安全警告，极大减少了开发人员消除 Ruby 和 JavaScript 项目漏洞的时间。GitHub 安全警告服务，可以搜索依赖寻找已知漏洞然后通过开发者，以便帮助开发者尽可能快的打上补丁修复漏洞，消除有漏洞的依赖或者转到安全版本。

1.5 亿用户数据被泄露 Under Armour：不涉及敏感信息

本周四，美国著名运动装备品牌 Under Armour 称有 1.5 亿 MyFitnessPal 用户数据在上个月被泄露了，MyFitnessPal 是一款 Under Armour 旗下的食物和营养主题应用。此次关于用户数据泄露的声明使得该公司的股票价格下跌了 2.4%。

罗克韦尔 Allen Bradley MicroLogix 1400 系列工控设备曝多项严重漏洞

罗克韦尔自动化公司的 Allen-Bradley MicroLogix 1400 可编程逻辑控制器( PLCs )被用于各种不同的工业控制系统（ICS）的应用和流程，这些 PLCs 设备为不同的关键基础设施部门执行关键过程控制功能提供了一定支撑。

但近日， Cisco Talos 却在 PLCs 中发现了一些安全漏洞，可以被用来修改设备配置和梯形逻辑、将修改后的程序数据写入到设备的内存模块、从设备的内存模块中删除程序数据、以及对受影响的设备进行拒绝服务攻击等。根据工业控制过程中受影响的 PLCs 来看，漏洞可能还会导致更严重的损害。

新型 Android 恶意软件 HiddenMiner 开启「毁机」挖矿模式，危害中印两国手机用户

趋势科技在本周三表示发现了一种新的 Android 挖矿恶意软件 HiddenMiner，它可以暗中使用受感染设备的CPU 计算能力来窃取 Monero。HiddenMiner 的自我保护和持久性机制让它隐藏在用户设备上滥用设备管理员功能 （通常在 SLocker Android 勒索软件中看到的技术）。另外，由于 HiddenMiner 的挖矿代码中没有设置开关、控制器或优化器，这意味着一旦它开始执行挖矿进程，便会一直持续下去，直到设备电量耗尽为止。鉴于 HiddenMiner 的这种特性，这意味着它很可能会持续挖掘 Monero，直到设备资源耗尽。根据研究人员的说法，HiddenMiner 是在第三方应用商店发现的，大部分受害用户都位于中国和印度。

印度电力公司遭遇黑客攻击，勒索 1 RS Core 或 1000 万卢比

上周，黑客攻占了印度 Uttar Haryana Bijli Vitran Nigam（UHBVN）电力公司的计算机系统，窃取了客户的账单数据。 攻击者对电力公司进行了勒索，索要一个 1 RS Core 或者 1000 万卢比才肯归还数据，1000 万卢比相当于 15 万美元。

快讯 | 数以万计 Django 应用程序因配置错误泄露密码等敏感信息

近日，安全研究员 FábioCastro 发现 28,165 个配置错误的 Django 应用程序暴露敏感信息，其中包括密码，API 密钥以及 AWS 访问令牌。FábioCastro 称这是由于 Django 开发人员忘记禁用调试模式导致的，黑客可以使用这些泄露的数据来获得系统的完全控制权。

扎克伯格：库克对Facebook信息泄露事件的评价很肤浅

北京时间4月2日晚间消息，Facebook CEO马克·扎克伯格(Mark Zuckerberg)显然不同意苹果公司CEO蒂姆·库克(Tim Cook)对Facebook信息泄漏事件的评价，扎克伯格周一在接受采访时称，库克的评价很肤浅。

扎克伯格再次就数据泄露事件发声：解决问题需要数年

据《每日邮报》北京时间 4 月 3 日报道，据马克·扎克伯格( Mark Zuckerberg )称，Facebook 需要“数年时间”才能解决这次滥用用户数据暴露出来的问题。在接受新闻网站 Vox 采访时，扎克伯格对公司的商业模式进行了辩护，并还击了苹果 CEO 蒂姆·库克( Tim Cook )上周对 Facebook 的批评。

美国商场 500 万消费者信息被黑客盗！快看看你有没有中招

据 Wall Street Journal、纽约时报和 CNN 等多家媒体报道，美国奢侈品百货商场 Saks Fifth Avenue 和 Saks Off 5th、 Lord & Taylor 的消费者信用卡和借记卡信息被盗。涉及的消费者人数高达 500 万人，涉及的范围包括整个北美地区。或将成为零售业最大的一起消费者信息被盗事件。

Delta/Sears 被曝出遭网络攻击 数十万名客户信用卡信息可能曝光

据外媒报道，当地时间 4 月 4 日，Delta 和 Sears 表示最新曝光的数据泄露事件可能泄露了数十万客户的信用卡资料。获悉，该数据泄露事件最先由路透社曝出，其发生的地点为一家同时为 Delta 和 Sears 在线聊天平台提供服务的公司–[24]7。

黑客利用思科智能安装漏洞，全球 20 万台路由器躺枪

据外媒报道，一个名为“ JHT ”的黑客组织在上周五利用 Cisco（思科） CVE-2018-0171 智能安装漏洞攻击了许多国家的网络基础设施，例如俄罗斯和伊朗等 。根据伊朗通信和信息技术部的说法，目前全球已超过 20 万台路由器受到了攻击影响，其中有 3500 台受影响设备位于伊朗。

苹果联合创始人沃兹尼亚克退出FB 担心个人信息受损

4月9日早间消息，苹果联合创始人史蒂夫·沃兹尼亚克（Steve Wozniak）因担心Facebook无法保障其个人信息安全，决定退出该平台。

沃兹尼亚克表示：“Facebook给我带来的负面影响远胜于积极影响。苹果在隐私保护方面的措施要好多了。我像以前一样，发发邮件和短信也是可以的。”

FB暂时封杀加拿大公司AggregateIQ 因用户数据遭泄露

4月8日消息，据路透社报道，Facebook周五表示，它已经暂时封杀了加拿大政治咨询公司AggregateIQ。此前有报道称，这家公司以不恰当的方式获取了Facebook用户的个人数据。

女黑客破解任天堂 Switch，声称硬件漏洞无法修复

由于游戏的付费模式，让无数黑客乐此不疲的投身于破解主机的工作中去。近期，一位女性黑客正式宣布已经破解任天堂 Switch，适用于目前所有系统版本的 Switch，并表示这是由 NVIDIA Tegra 芯片中的漏洞导致，已出厂的 Switch 主机无法通过系统更新修复。

Linux 系统的 beep 包中存在竞争条件漏洞，可被黑客利用探测机密文件

Linux 发行系统 Debian 和 Ubuntu 中预装的 beep 包存在竞争条件漏洞，黑客可利用这个漏洞探测到计算机中的文件（包括 root 用户的机密文件）。这个漏洞标识为 CVE-2018-0492，不会实造成远程攻击，但是这是一个特权提升（EoP）漏洞，可被攻击者利用获取到 root 级别的访问权限，完全访问系统并发起恶意攻击。

如果黑客利用这个 beep 包获取了特定文件，就能进一步采取措施，将 beep 包作为启动平台，执行其他命令。目前，新版的 Debian 和 Ubuntu 中已经修复了这个漏洞。

扎克伯格：数据泄露事件没有让用户量急剧减少

北京时间4月11日上午消息，扎克伯格在Facebook数据泄露问题听证会上表示，最近曝光的数据泄露问题“明显伤害”了Facebook的使命，不过并没有发现用户量急剧减少。

Facebook首席执行官回应数据泄露：不排除其他数据滥用的情况

Facebook的泄露事件似乎并没有随着时间的推移日渐平息，因为调查日渐深入，更多真相浮出水面。

早在3月19日，Facebook被曝5000万用户数据遭剑桥分析公司非法搜集并用于干扰美国大选，事件一出，激起轩然大波。而到4月4日，Facebook首席技术官又发表报告称，实际遭影响的用户高达8700万。Facebook CEO扎克伯格多次道歉并公开声明承担责任。但时至今日，事情反而愈演愈烈。

近日，Facebook的首席运营官雪莉·桑德伯格(Sheryl Sandberg)公开表态称，Facebook其实在两年前就知道剑桥分析公司暗中获取用户数据，而且也不排除还存在其他数据滥用的情况。

超 15 亿敏感文件被曝光 快检查你的信息安全

据 digital shadows 报道，在三个月的时间内有超过 15 亿个敏感文件被公开在网上，其中包括专利申请、工资单、纳税申报单、患者名单、版权申请和源代码等。这些文件并不是被黑客违法曝光的，而是由配置错误的云存储、文件交换协议和文件共享服务导致的。

此次被曝光数据量高达 12,000 TB，这些数据在公开的 Amazon S3 Bucket、Rsync、SMB、FTP 服务器、配置错误的网站或网络附加存储（NAS）驱动器上就可以轻易获得。

FB 泄露影响 31 万澳洲人 但实际只有 53 人用了测试 App

Cambridge Analytica 曾经利用个性测试 App 收集 Facebook 用户数据，不过只有 53 名澳大利亚人使用该 App，而受影响的澳大利亚人有 31 万，也就是说绝大多数人并没有直接同意 Cambridge Analytica 收集自己的个人数据。周一时，Facebook 开始联系全球受影响的用户，数量高达 8700 万，当中有些人来自澳大利亚。

ATI Systems 警报器现「SirenJack 远程漏洞」，可通过无线电频率激活警报制造全城混乱

近日，网络安全公司 Bastille 发布的安全公告称， ATI Systems 的紧急警报系统中暴露了一个名为 SirenJack 的远程劫持漏洞，攻击者可以通过无线电频率（RF）来利用该漏洞激活、触发错误警报，以制造混乱和恐慌。

受数据泄露事件影响 FB广告营收或减少20亿美元

北京时间4月13日上午消息，GBH Insights首席战略官丹尼尔·艾夫斯（Daniel Ives）认为，Facebook处理数据不当，卷入丑闻，公司每年广告营收的3%存在风险。这些营收可能会丢失，金额介于10-20亿美元之间。

西门子 SIPROTEC、Reyrolle 设备曝高危漏洞，或致变电站等供电设施遭受攻击

近日， ICS-CERT 发布安全报告称西门子 SIPROTEC 4，SIPROTEC Compact 以及 Reyrolle 设备存在的三个漏洞可能会被黑客利用来攻击变电站和其他供电设施。当这些漏洞被成功利用时，攻击者能够通过上传修改后的设备配置来覆盖访问授权密码或者捕获某些可能包含授权密码的网络流量，从而可能导致电力设备保护功能中断或客户缩减。

泰国最大 4G 移动运营商 TrueMove H 遭遇 AWS S3 存储桶数据泄露

据外媒 4 月 15 日报道，泰国最大 4G 移动运营商 TrueMove H 于近期遭遇了数据泄露，一位操作人员将 AWS S3 存储桶中总计 32 GB 的 46000 人数据公开在互联网上，其中包括身份信息、护照和驾驶执照等数据。目前根据 TrueMove H 发布的声明显示，其子公司 I True Mart 遭受到了此次泄露的影响。

黑客利用鱼缸温度计窃取了赌场的数据库

被广泛使用的物联网设备正日益成为安全系统的一个薄弱环节。黑客越来越多的通过物联网设备入侵企业网络。网络安全公司 Darktrace 的 CEO Nicole Eagan 指出，物联网设备扩大了攻击面，而绝大部分物联网设备没有被传统防御所覆盖。

他披露了该公司经手的一个案例，黑客通过水族箱的温度计在一家未公开名字的赌场网络获得了一个立足之地，然后从网络中发现了一个重要数据库，将其搬到了云端。

FB数据泄露未改民意：多数美国人不希望监管社交媒体

北京时间4月17日早间消息，针对Facebook用户数据泄露一事，美国国会与Facebook CEO马克·扎克伯格（Mark Zuckerberg）举行了两场听证会，此外国会目前正在讨论是否应该对Facebook以及其他社交媒体企业进行监管。但是《华尔街日报》和NBC News联合进行的一次投票调查显示，在美国人中，希望对社交媒体进行监管的用户数量并不多。

漏洞聚焦：Moxa EDR-810 工业安全路由器存在多个严重漏洞

思科 Talos 的安全研究专家发现工业路由器 Moxa EDR-810 中存在 17 个安全漏洞，其中包括许多影响 Web 服务器功能的严重命令注入漏洞和导致服务器崩溃的拒绝服务 (DOS )漏洞。目前发现的漏洞已在 Moxa EDR-810 V4.1 build 17030317 中得到确认，但其早期版本的产品也可能受到了影响。

FB数据泄露丑闻涉事公司：实际受影响用户不止8700万

北京时间4月18日早间消息，政治数据咨询公司剑桥分析（Cambridge Analytica）的一名前员工周二在英国议会作证称，除了导致Facebook数据泄露丑闻的心理测试App外，该公司还在Facebook平台上上线另外几项测试，实际受影响的用户数据可能远超8700万。

安卓手机爆发“寄生推”病毒 2000 万用户遭遇恶意推广

如“ 寄生虫 ”一般的恶意推广手段正在严重影响上千万手机用户的使用体验。近日，腾讯 TRP-AI 反病毒引擎捕获到一个恶意推送信息的软件开发工具包（SDK）——“寄生推”，通过预留的“后门”云控开启恶意功能，进行恶意广告行为和应用推广，以实现牟取灰色收益。目前已有 300 多款知名应用受“寄生推 ”SDK 感染，潜在影响用户超 2000 万。

美国数据公司泄露4800万网民资料：包含详细个人信息

北京时间4月19日早间消息，一家鲜为人知的美国数据公司在用户毫不知情的情况下，通过Facebook、LinkedIn、Twitter和Zillow等社交网络收集和合并大量用户数据，构建4800万人的个人资料，并且一度将其公开泄露出来。

DBIR：四分之一的数据泄露都是公司内部人员所致

勒索软件和外部黑客继续充当2018数据泄露事件头号原因。

全世界超过1/4的数据泄露都起源于公司“内部人员”的电脑台位，而且还不仅仅是单纯误点了可疑链接那么简单。不过，管理员们对这样的情况应该已经习以为常了。

罗克韦尔自动化声称思科 IOS 漏洞影响其工业交换机

据外媒 19 日报道，罗克韦尔自动化发布警告成称由于 Cisco IOS 中的安全漏洞，其 Allen-Bradley Stratix 和 ArmorStratix 工业交换机可能会遭受黑客攻击。根据罗克韦尔自动化公司的说法，最近在思科 IOS 中发现的八个漏洞影响了其在许多领域中使用的产品，其中包括关键制造以及能源等方面。

垃圾邮件捆绑分发 XTRAT、Loki 多款恶意程序，美日澳等国受灾严重

近日，趋势科技安全专家发表博文称其发现了一起垃圾邮件活动。通过该垃圾邮件，黑客组织能够分发与 Adwind RAT 捆绑在一起的 XTRAT 和 DUNIHI 后门以及 Loki 恶意软件。目前专家们在 1 月 1 日至 4 月17 日期间共检测到 5,535 例 Adwind 感染病例，其中美国、日本、澳大利亚等国家受影响较为严重。

美国知名银行前员工或盗用150万客户信息，出售给犯罪组织

SunTrust银行宣布发现一名前雇员可能试图下载近150万名客户的信息，并将其分享给一个犯罪组织。

SunTrust银行的一位前雇员可能盗取了150万名客户的数据，包括姓名、地址、电话号码和账户余额等重要信息。

Health Stream 在网上公开数据库，约 10000 名医务人员联系数据可能泄露

IT 专家发现，美国医疗公司 Health Stream 在网上公开了一个数据库，其中包含约 10000 名医务人员的联系方式、名字、邮箱地址以及 ID 等信息。

该公司接到事件汇报后，已经及时将相关内容下线，但是在其他在线缓存中，还是能查到这些数据。这些数据可被恶意攻击者利用，针对该公司员工进行钓鱼攻击。 IT 专家将此事披露出来，提醒企业组织重视 IT 基础设施安全。而目前，Health Stream 尚未对此事作出回应。

FB北美日活用户数量反弹 数据泄露事件影响甚微

北京时间4月26日早间消息，Facebook在北美地区的每日活跃用户人数小幅上升，达到1.85亿人次。这一迹象表明，该公司的新闻推送技术和数据隐私问题可能没有吓住用户们。

iPhone 解锁设备制造商 Grayshift 遭遇短暂的数据泄露

因生产 iPhone 解锁设备 GrayKey、并向美国多个执法机构销售，制造商 Grayshift 早已陷入舆论的风口浪尖。然而近日，该公司又遭遇了一起数据泄露，据说攻击者访问到了一小部分的 GrayKey 代码。外媒 Motherboard 报道称，上周，有不知名的黑客泄露了 GrayKey 的部分代码，并且向 Grayshift 勒索 2 枚比特币，不然就威胁进一步泄露其数据。

Facebook一季度财报表现良好 数据泄露事件影响甚微

Facebook发布了一份不错的一季度财报，暂时未见受数据泄露事件影响。

报告显示，Facebook第一季度营收为119.66亿美元，比去年同期的80.32亿美元增长49%，不计入汇率变动的影响为同比增长42%；净利润为49.88亿美元，比去年同期的净利润30.64亿美元增长63%。

其中，来自于广告业务的营收为117.95亿美元，比去年同期的78.57亿美元增长50%。不计入汇率变动的影响，Facebook第一季度广告营收同比增长43%。移动广告营收在总广告营收中所占比例约为91%，与2017年第一季度约85%的占比相比有所上升。

Facebook发布了一份不错的一季度财报，暂时未见受数据泄露事件影响。

报告显示，Facebook第一季度营收为119.66亿美元，比去年同期的80.32亿美元增长49%，不计入汇率变动的影响为同比增长42%；净利润为49.88亿美元，比去年同期的净利润30.64亿美元增长63%。

其中，来自于广告业务的营收为117.95亿美元，比去年同期的78.57亿美元增长50%。不计入汇率变动的影响，Facebook第一季度广告营收同比增长43%。移动广告营收在总广告营收中所占比例约为91%，与2017年第一季度约85%的占比相比有所上升。

西部数据（WD）的 My Cloud EX2 存储设备默认配置泄露文件信息

据外媒 4 月 26 日报道，安全公司 Trustwave 的研究人员发现 ，西部数据（Western Digital：简称 WD）的 My Cloud EX2 存储设备默认情况下会在本地网络上泄漏文件，无论用户设置的权限如何。并且如果用户配置设备进行远程访问并使其联机，则情况会变得更糟。因为在这种情况下，My Cloud EX2 存储设备也会通过端口 9000 上的 HTTP 请求泄漏文件。

(责任编辑：冬天的宇)