美国南卡SRP联邦信用社遭黑客攻击，24万客户数据被泄露

麦当劳印度外卖应用McDelivery在印度被发现存在严重安全漏洞，包括允许用户以极低价格下单、劫持他人订单、监控配送员位置、访问敏感数据等。

该漏洞涉及麦当劳印度（西南区）/ Hardcastle Restaurants Pvt. Ltd.开发的McDelivery系统，研究人员发现多个API缺陷，导致未经授权的访问和多种功能的滥用：用户可以通过操控购物车对象的价格，将订单价格降低至0.01美元；黑客还可以通过精确控制API请求的时机，将其他用户的订单重定向到自己的地址，从而窃取订单；此外，黑客能够实时跟踪送货司机的位置，获取敏感的个人信息，并访问其他用户的订单详情、下载发票，甚至对未下的订单提交反馈；用户可以在未授权的情况下查看管理员的关键绩效指标（KPI）报告。

一名道德黑客通过技术手段揭露了这些问题，并提交了详细报告。麦当劳印度响应迅速，所有漏洞在90天内得到修复，并给予黑客奖励。这一事件凸显了对面向消费者的应用程序进行持续安全评估的重要性。

美国南卡罗来纳州最大的信用合作社之一的SRP 联邦信用社近日报告称，约有24万名客户在一起网络攻击中受到影响。该信用合作社于12月13日向缅因州和德克萨斯州的监管机构提交了数据泄露通知。

执法部门的调查发现，黑客在2024年9月5日至11月4日期间多次入侵了该银行的内部系统。SRP表示，黑客在此期间“可能获取了网络中的某些文件”。尽管SRP尚未公开具体被盗信息的细节，但据报道，该信用合作社已告知德克萨斯州监管机构，泄露的信息包括社会安全号码、驾照号码、出生日期以及财务信息，如账户号码和信用卡或借记卡号码。

网络安全管理和威胁分析公司Hackmanac指出，知名勒索软件团伙Nitrogen声称对此次攻击负责，并声称窃取了 650GB的机密客户数据，包括客户的全名和信用评级。

但SRP并未确认这是否为勒索软件攻击，并向监管机构表示此次黑客攻击并未影响其在线银行系统或核心处理系统。

近日，网络安全研究员Jeremiah Fowler透露，总部位于英国伦敦的人工智能软件和应用开发公司Builder.ai近期因数据库配置错误而暴露了超过1.29TB的未加密记录，这个公开可访问的数据库包含超过300万条记录。

根据Fowler的报告，泄露的信息包括客户成本提案、保密协议、发票、税务文件、内部通信、访问密钥以及电子邮件截图等。Fowler指出，在同一数据库中以明文存储文档和访问密钥（例如，密钥ID和秘密访问密钥）可能会造成严重的安全漏洞。如果数据库意外暴露或被未授权访问，恶意行为者可能利用这些密钥访问相关系统、云存储或其他敏感资源，而无需额外的身份验证。

数据库配置错误是一个常见问题，但最近的报告显示，包括ShinyHunters和Nemesis等在内的臭名昭著的黑客组织正在积极针对暴露的数据库。Builder.ai在接到报告后，花了整整一个月才确保数据库的安全，理由是“系统依赖关系复杂”。这一解释暗示，数据库暴露可能涉及第三方承包商。

美国特权访问管理公司BeyondTrust在12月初遭遇了一起网络攻击，攻击者成功入侵了部分远程支持客户SaaS实例，公司后续调查发现旗下产品存在两个零日漏洞，目前该事件影响面还在评估中。

BeyondTrust是一家专注于特权访问管理（PAM）及安全远程访问解决方案的网络安全公司，其产品广泛应用于政府机构、科技公司、零售和电子商务企业、医疗组织、能源和公用事业服务提供商以及银行业。

该公司表示，其网络系统于2024年12月2日检测到“异常活动”。初步调查显示，攻击者已成功攻破部分远程支持SaaS实例。进一步调查发现，黑客获取了一个远程支持SaaS的API密钥，并利用该密钥重置了本地应用程序账号的密码。

在对该网络攻击事件的调查中，BeyondTrust确认了两个安全漏洞，并分别于12月16日和12月18日公开。第一个漏洞CVE-2024-12356（CVSS评分：9.8）是一个严重级别的命令注入漏洞，影响远程支持（RS）和特权远程访问（PRA）产品。成功利用该漏洞可能允许未经认证的远程攻击者以站点用户的身份执行底层操作系统命令。第二个漏洞CVE-2024-12686（CVSS评分：6.6）被评定为中等危害，同样影响上述产品。该漏洞允许拥有管理员权限的攻击者注入命令并上传恶意文件到目标系统。

虽然公告中未明确说明，但不排除攻击者利用这两个零日漏洞攻入BeyondTrust系统。BeyondTrust的声明未将这两个漏洞标记为已被实际利用。公司表示，已对所有云端实例自动应用了相关漏洞补丁，但自托管实例的用户需要手动更新以确保安全。BeyondTrust表示，此次安全事件的调查尚未结束，公司将在官方网站上持续更新调查结果。

意大利数据保护局日前发布公告称，因OpenAI在ChatGPT相关数据保护方面的失误而对其处以1500万欧元（约1.14亿元人民币）的罚款，并要求其在意大利媒体上开展为期六个月的公众宣传活动。该活动旨在向公众普及ChatGPT的运作方式，特别是涉及便于算法训练的针对用户和非用户的数据收集实践。

此次罚款源于OpenAI未能在2023年3月向意大利当局报告一起数据泄露事件，促使监管机构调查该公司如何处理个人数据。调查结果显示，OpenAI在未确定适当法律依据的情况下处理用户数据以训练ChatGPT，违反了透明度原则及对用户的信息义务。此外，该公司还被指控缺乏年龄验证机制，这可能导致13岁以下儿童接触到不适合其发展和自我认知水平的内容。

这一公告发布的前一天，欧洲数据保护委员会（EDPB）也就个人数据在人工智能模型开发和部署中的使用发表了意见。

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台（https://virus.cverc.org.cn）在我国境内再次捕获针对我国用户的“银狐”木马病毒的最新变种。

在本次传播过程中，攻击者继续构造财务、税务违规稽查通知等主题的钓鱼信息和收藏链接，通过微信群直接传播包含该木马病毒的加密压缩包文件。这些可执行程序实际为“银狐”远控木马家族于12月更新传播的最新变种程序。如果用户运行相关恶意程序文件，将被攻击者实施远程控制、窃密等恶意操作，并可能被犯罪分子用来充当进一步实施电信网络诈骗活动的“跳板”。本次发现的新变种还具有主动攻击安全软件的功能，试图通过模拟用户鼠标键盘操作关闭防病毒软件。

临近年末，国家计算机病毒应急处理中心再次提示广大企事业单位和个人网络用户提高针对各类电信网络诈骗活动的警惕性和防范意识，不要轻易被犯罪分子的钓鱼话术所诱导。

美国司法部指控一名俄罗斯-以色列双国籍人士，涉嫌开发和管理臭名昭著的LockBit勒索软件组织。

根据12月20日新泽西州公布的一份刑事起诉书，51岁的Rostislav Panev是俄罗斯和以色列双重国籍，据称他帮助开发了LockBit勒索软件加密器和一种常用于攻击的“StealBit”定制数据盗窃工具。

Panev于8月在以色列被捕，等待美国引渡。刑事起诉书称，以色列执法部门执法部门发现其电脑存暗网存储库凭据，含LockBit加密器、StealBit工具源代码及LockBit控制面板访问凭据，可生成自定义LockBit勒索软件。此外，另含由乌克兰研究人员泄露的Conti勒索软件加密器源代码。

据称，Panev与LockBit勒索软件团伙合作，在18个月内赚了约23万美元。美国国务院的“正义奖励计划”目前为逮捕Khoroshev奖励1000万美元，另外悬赏1000万美元关于逮捕LockBit勒索软件团伙的其他成员。

罗马尼亚国籍男子Daniel Christian Hulea因参与NetWalker勒索软件攻击被美国司法部判处20年监禁，并支付14991580.01美元赔偿。Hulea已向法庭承认了计算机欺诈和电信欺诈的共谋罪，涉及对全球多个组织的勒索，包括在新冠疫情期间的医疗机构。他承认从受害者手中勒索了1595个比特币（约合2150万美元）的赎金。

据了解，罗马尼亚当局于2023年7月11日在克卢日逮捕了Hulea，并根据美罗引渡条约将其引渡至美国。NetWalker勒索软件组织自2019年起活跃，采用勒索软件即服务（RaaS）模式运作。

该组织的受害者名单相当庞大，包括巴基斯坦最大的私营电力公司K-Electric、阿根廷官方移民机构和加州大学旧金山分校（UCSF）等，以及众多公司、地方政府、医院、执法机构、应急服务、学区、学院和大学。攻击特别针对在新冠疫情期间的医疗行业，利用全球危机进行敲诈。

信息来源：人民网 国家计算机网络应急技术处理协调中心 国家信息安全漏洞库 今日头条 360威胁情报中心 中科汇能GT攻防实验室 安全牛 E安全 安全客 NOSEC安全讯息平台 火绒安全 亚信安全 奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院 安全帮  卡巴斯基 安全内参 安全学习那些事 安全圈 黑客新闻 蚁景网安实验室 IT之家IT资讯 黑客新闻国外

本文版权归原作者所有，如有侵权请联系我们及时删除