Clash Verge 爆出高危 RCE 漏洞，全球逾 1.3 万资产受影响
2025年5月19日，Goby 安全团队披露 Clash Verge 存在远程命令执行（RCE）漏洞。该漏洞允许攻击者通过构造恶意网页，在用户毫无察觉的情况下修改 Mihomo（Clash 核心）配置，进而实现任意文件写入、断网或远程控制。更严重的是，所有开启 Web 控制服务的 Clash 系列软件均受影响。
漏洞范围与利用方式：
• 默认暴露端口（9090/9097）：所有历史版本 Clash（≤2.2.4）和 Mihomo（≤v1.19.8）默认开启 Web 控制端口。
• 攻击链：利用 CORS 跨域绕过+路径穿越，通过 REST API 上传恶意配置，触发 UI 模块异常或实现恶意 ZIP 文件写入，最终可能劫持代理或执行系统命令。
• 影响资产：FOFA 查询显示公网暴露资产已超 13,700 个。
可能造成的后果包括：
1. 代理配置被劫持，敏感流量（如密码、交易信息）被窃取。
2. 恶意脚本下载后执行，实现系统完全控制（RCE）。
3. 强制断网、界面异常等干扰用户使用。
修复建议：
• 立即升级：将 Clash 更新至 ≥v2.3.0，Mihomo 升级至 ≥v1.20.1。
• 关闭端口：关闭或限制 Web 控制服务的访问，避免暴露至公网。
• 审查配置：检查 external-ui 字段设置，防止路径穿越攻击。
该漏洞危害严重，建议用户立即采取补救措施，以避免遭受攻击。
2025年5月19日，Goby 安全团队披露 Clash Verge 存在远程命令执行（RCE）漏洞。该漏洞允许攻击者通过构造恶意网页，在用户毫无察觉的情况下修改 Mihomo（Clash 核心）配置，进而实现任意文件写入、断网或远程控制。更严重的是，所有开启 Web 控制服务的 Clash 系列软件均受影响。
漏洞范围与利用方式：
• 默认暴露端口（9090/9097）：所有历史版本 Clash（≤2.2.4）和 Mihomo（≤v1.19.8）默认开启 Web 控制端口。
• 攻击链：利用 CORS 跨域绕过+路径穿越，通过 REST API 上传恶意配置，触发 UI 模块异常或实现恶意 ZIP 文件写入，最终可能劫持代理或执行系统命令。
• 影响资产：FOFA 查询显示公网暴露资产已超 13,700 个。
可能造成的后果包括：
1. 代理配置被劫持，敏感流量（如密码、交易信息）被窃取。
2. 恶意脚本下载后执行，实现系统完全控制（RCE）。
3. 强制断网、界面异常等干扰用户使用。
修复建议：
• 立即升级：将 Clash 更新至 ≥v2.3.0，Mihomo 升级至 ≥v1.20.1。
• 关闭端口：关闭或限制 Web 控制服务的访问，避免暴露至公网。
• 审查配置：检查 external-ui 字段设置，防止路径穿越攻击。
该漏洞危害严重，建议用户立即采取补救措施，以避免遭受攻击。
🤡29👍19🤯12❤6😁4💩4🎉1
阿迪达斯再遭客户数据泄露，三连事件引发数据保护质疑
2025年5月23日，阿迪达斯确认第三次客户数据泄露事件，源于其第三方客服系统遭未授权访问。此次泄露主要影响曾联系客服的用户，涉及姓名、邮箱、电话等联系信息，不含密码或支付数据。公司已启动调查，通知监管机构并警告用户警惕钓鱼诈骗。
这是继5月中旬土耳其与韩国子公司相继曝出信息泄露后，阿迪达斯在一个月内遭遇的第三次客户数据事故，累计风险敞口引发公众对其数据安全体系的担忧。
阿迪达斯表示，正与网络安全专家协作应对，并未披露具体影响人数或三起事件是否相关。其全球忠诚计划 adiClub 拥有超3亿会员，受影响范围潜在广泛。
在全球零售业频发数据安全事件的背景下，玛莎百货、迪奥、山姆会员商店等品牌近期亦遭网络攻击。业内专家呼吁加强第三方服务供应链审计，并建议阿迪达斯等企业提供信用监控支持，以恢复消费者信心。
2025年5月23日，阿迪达斯确认第三次客户数据泄露事件，源于其第三方客服系统遭未授权访问。此次泄露主要影响曾联系客服的用户，涉及姓名、邮箱、电话等联系信息，不含密码或支付数据。公司已启动调查，通知监管机构并警告用户警惕钓鱼诈骗。
这是继5月中旬土耳其与韩国子公司相继曝出信息泄露后，阿迪达斯在一个月内遭遇的第三次客户数据事故，累计风险敞口引发公众对其数据安全体系的担忧。
阿迪达斯表示，正与网络安全专家协作应对，并未披露具体影响人数或三起事件是否相关。其全球忠诚计划 adiClub 拥有超3亿会员，受影响范围潜在广泛。
在全球零售业频发数据安全事件的背景下，玛莎百货、迪奥、山姆会员商店等品牌近期亦遭网络攻击。业内专家呼吁加强第三方服务供应链审计，并建议阿迪达斯等企业提供信用监控支持，以恢复消费者信心。
🤡21❤4👎1👏1
白宫办公厅主任手机疑似被黑客入侵，FBI 正在调查
2025年5月31日，联邦调查局正在调查一起冒充白宫办公厅主任苏西·威尔斯（Susie Wiles）的事件。据知情人士透露，近期一名身份不明者假冒威尔斯，通过电话和短信联系了多位共和党参议员、州长以及企业高管。
这些通讯并非来自威尔斯本人。部分政府官员怀疑，冒名者可能通过入侵她的私人手机通讯录获取了大量联系人信息。知情人士指出，该冒名者可能使用人工智能技术模仿了威尔斯的声音，有些接听者最初未能察觉异样。
据称，部分短信内容带有明显官方口吻，包括要求提供总统赦免名单，甚至提出资金转账请求。不少人因语法错误、沟通方式不符，以及使用非官方号码而起疑，并主动联系本人核实。
FBI 局长卡什·帕特尔表示，保护政府官员安全通信能力是当前重点，尚无迹象表明有外国势力介入。白宫也表示此案仍在调查中。
据悉，去年竞选期间，伊朗特工曾入侵威尔斯邮箱，显示其长期面临高级别网络攻击风险。
2025年5月31日，联邦调查局正在调查一起冒充白宫办公厅主任苏西·威尔斯（Susie Wiles）的事件。据知情人士透露，近期一名身份不明者假冒威尔斯，通过电话和短信联系了多位共和党参议员、州长以及企业高管。
这些通讯并非来自威尔斯本人。部分政府官员怀疑，冒名者可能通过入侵她的私人手机通讯录获取了大量联系人信息。知情人士指出，该冒名者可能使用人工智能技术模仿了威尔斯的声音，有些接听者最初未能察觉异样。
据称，部分短信内容带有明显官方口吻，包括要求提供总统赦免名单，甚至提出资金转账请求。不少人因语法错误、沟通方式不符，以及使用非官方号码而起疑，并主动联系本人核实。
FBI 局长卡什·帕特尔表示，保护政府官员安全通信能力是当前重点，尚无迹象表明有外国势力介入。白宫也表示此案仍在调查中。
据悉，去年竞选期间，伊朗特工曾入侵威尔斯邮箱，显示其长期面临高级别网络攻击风险。
😁26❤5🤣5👍2🤡2
iMessage 零点击漏洞“NICKNAME”曝光，已被用于监听高价值目标，iOS 18.3.1以下版本受影响
安全公司 iVerify 发布报告披露，一个代号为NICKNAME的零点击 iMessage 漏洞已被利用于攻击包括政界人士、媒体人员和 AI 公司高管在内的重点目标。该漏洞影响 iOS 18.3.1 以下所有版本，建议用户立即更新系统或关闭 iMessage 功能。
技术分析显示，攻击者可通过向目标发送连续的昵称更新消息，触发 imagentiPhone 进程中的Use-After-Free 内存破坏漏洞，进而远程接管设备，无需用户点击或交互。
报告指出，该漏洞仅在五万台设备中发现六台存在疑似利用迹象，显示出其高度定向、极其隐蔽的特征。iVerify 警告称，这可能只是一个更大攻击链的一环。
技术报告
安全公司 iVerify 发布报告披露，一个代号为NICKNAME的零点击 iMessage 漏洞已被利用于攻击包括政界人士、媒体人员和 AI 公司高管在内的重点目标。该漏洞影响 iOS 18.3.1 以下所有版本，建议用户立即更新系统或关闭 iMessage 功能。
技术分析显示，攻击者可通过向目标发送连续的昵称更新消息，触发 imagentiPhone 进程中的Use-After-Free 内存破坏漏洞，进而远程接管设备，无需用户点击或交互。
报告指出，该漏洞仅在五万台设备中发现六台存在疑似利用迹象，显示出其高度定向、极其隐蔽的特征。iVerify 警告称，这可能只是一个更大攻击链的一环。
技术报告
👏7❤5🤡4👍1
ChatGPT被曝保留已删除与临时对话记录，用户隐私惹争议
2025年6月，OpenAI承认自5月中旬起，因应法院命令，已开始保留用户删除的聊天记录和临时会话数据，引发广泛关注。该命令源自《纽约时报》对OpenAI的版权诉讼，要求保留所有可能涉及侵权的内容。
OpenAI表示，此类数据被隔离存储，仅供法律审查使用，并未与任何第三方共享。但直到6月初公司才对外披露，部分用户指责其隐瞒做法，损害隐私信任。
目前，企业与教育版用户及启用“零数据保留”（ZDR）端点的API客户不受影响。OpenAI CEO Sam Altman提出“AI特权”概念，主张AI交流应享有类似医患、律师关系的法律保密权。
该事件成为AI时代数据治理的警示，用户与企业需重新评估与大模型互动的隐私风险。
2025年6月，OpenAI承认自5月中旬起，因应法院命令，已开始保留用户删除的聊天记录和临时会话数据，引发广泛关注。该命令源自《纽约时报》对OpenAI的版权诉讼，要求保留所有可能涉及侵权的内容。
OpenAI表示，此类数据被隔离存储，仅供法律审查使用，并未与任何第三方共享。但直到6月初公司才对外披露，部分用户指责其隐瞒做法，损害隐私信任。
目前，企业与教育版用户及启用“零数据保留”（ZDR）端点的API客户不受影响。OpenAI CEO Sam Altman提出“AI特权”概念，主张AI交流应享有类似医患、律师关系的法律保密权。
该事件成为AI时代数据治理的警示，用户与企业需重新评估与大模型互动的隐私风险。
🤮50❤9😱5🖕5🤣3😁1🤡1
Chrome紧急安全更新：修复高危漏洞 防止远程代码执行
2025年6月17日，谷歌向Windows、Mac和Linux平台用户发布了Chrome浏览器的紧急安全更新（版本137.0.7151.119/.120），以修复三个关键安全漏洞，其中两个已被外部研究员发现并报告。这些漏洞存在被黑客利用、在用户设备上执行任意代码的严重风险。
其中编号为CVE-2025-6191的漏洞存在于Chrome核心JavaScript引擎V8中，是一种整数溢出漏洞，由研究员Shaheen Fazim于5月27日报告，已获得7000美元奖励。该漏洞可能导致内存破坏，为攻击者远程执行恶意代码提供路径。
另一漏洞CVE-2025-6192是“释放后使用”（use-after-free）类型的内存错误，存在于Chrome性能分析组件Profiler中，由研究员Chaoyuan Peng（@ret2happy）报告，获得4000美元奖励。此类漏洞通常可被利用绕过沙箱限制，执行任意指令。
谷歌强调，在多数用户完成更新前，关于漏洞的技术细节将继续保密，以防攻击者开发利用代码。谷歌还警告，这些漏洞可能影响依赖Chrome开源组件（如Chromium）的其他项目。
建议所有用户立即更新Chrome浏览器：在地址栏输入chrome://settings/help，或通过“设置”>“关于Chrome”手动检查并安装更新。维持浏览器为最新版，是防止恶意攻击的关键步骤。
2025年6月17日，谷歌向Windows、Mac和Linux平台用户发布了Chrome浏览器的紧急安全更新（版本137.0.7151.119/.120），以修复三个关键安全漏洞，其中两个已被外部研究员发现并报告。这些漏洞存在被黑客利用、在用户设备上执行任意代码的严重风险。
其中编号为CVE-2025-6191的漏洞存在于Chrome核心JavaScript引擎V8中，是一种整数溢出漏洞，由研究员Shaheen Fazim于5月27日报告，已获得7000美元奖励。该漏洞可能导致内存破坏，为攻击者远程执行恶意代码提供路径。
另一漏洞CVE-2025-6192是“释放后使用”（use-after-free）类型的内存错误，存在于Chrome性能分析组件Profiler中，由研究员Chaoyuan Peng（@ret2happy）报告，获得4000美元奖励。此类漏洞通常可被利用绕过沙箱限制，执行任意指令。
谷歌强调，在多数用户完成更新前，关于漏洞的技术细节将继续保密，以防攻击者开发利用代码。谷歌还警告，这些漏洞可能影响依赖Chrome开源组件（如Chromium）的其他项目。
建议所有用户立即更新Chrome浏览器：在地址栏输入chrome://settings/help，或通过“设置”>“关于Chrome”手动检查并安装更新。维持浏览器为最新版，是防止恶意攻击的关键步骤。
🖕15❤6👎2👍1
法国警方重创全球最大数据黑市平台 BreachForums，五名核心成员落网
2025年6月25日，法国警方在巴黎、上塞纳省、滨海塞纳省及留尼汪岛等地同步展开突袭，成功捣毁了全球最大数据交易平台 BreachForums（BF）在法国的新一轮运营网络。此次行动共逮捕了五名与 BF v2 密切相关的核心成员，包括知名黑客“ShinyHunters”、“IntelBroker”、“Hollow”、“Noct”及“Depressed”。
BreachForums 自 RaidForums 被关闭后迅速崛起，成为暗网最活跃的泄露数据交易平台之一。平台不仅非法出售大规模数据库，还提供入侵公司网络、账户访问权限等高价值服务，曾涉及法国电信商 SFR、France Travail、法国足球联合会等机构。仅 France Travail 一案，就牵涉超过 4,300 万条敏感记录，震动法国政界与执法部门。
据安全专家指出，“ShinyHunters”是该论坛最具技术实力的操盘手，曾利用 SnowFlake 漏洞入侵 Santander、AT&T、Ticketmaster 等企业。而“IntelBroker”则因泄露美国国会议员医保信息而被国际通缉，并于 2025 年初落网。其余三人也分别承担论坛管理、审核和运营职能。
警方在本次行动中缴获了服务器、硬盘以及加密通信记录，为揭示该组织的数据交易网络提供关键证据。这次打击是继 2023 年 Pompompurin 落网后国际执法合作的又一重大成果，预计将对全球黑市数据流通造成沉重打击。安全研究指出，2024 年全球泄露事件激增 43%，而 BreachForums 的瘫痪将对遏制数据买卖犯罪起到重要遏制作用。
2025年6月25日，法国警方在巴黎、上塞纳省、滨海塞纳省及留尼汪岛等地同步展开突袭，成功捣毁了全球最大数据交易平台 BreachForums（BF）在法国的新一轮运营网络。此次行动共逮捕了五名与 BF v2 密切相关的核心成员，包括知名黑客“ShinyHunters”、“IntelBroker”、“Hollow”、“Noct”及“Depressed”。
BreachForums 自 RaidForums 被关闭后迅速崛起，成为暗网最活跃的泄露数据交易平台之一。平台不仅非法出售大规模数据库，还提供入侵公司网络、账户访问权限等高价值服务，曾涉及法国电信商 SFR、France Travail、法国足球联合会等机构。仅 France Travail 一案，就牵涉超过 4,300 万条敏感记录，震动法国政界与执法部门。
据安全专家指出，“ShinyHunters”是该论坛最具技术实力的操盘手，曾利用 SnowFlake 漏洞入侵 Santander、AT&T、Ticketmaster 等企业。而“IntelBroker”则因泄露美国国会议员医保信息而被国际通缉，并于 2025 年初落网。其余三人也分别承担论坛管理、审核和运营职能。
警方在本次行动中缴获了服务器、硬盘以及加密通信记录，为揭示该组织的数据交易网络提供关键证据。这次打击是继 2023 年 Pompompurin 落网后国际执法合作的又一重大成果，预计将对全球黑市数据流通造成沉重打击。安全研究指出，2024 年全球泄露事件激增 43%，而 BreachForums 的瘫痪将对遏制数据买卖犯罪起到重要遏制作用。
😱36👍7👎5❤4😁3😭2👏1
Airoha蓝牙芯片爆出三重高危漏洞，29款耳机面临远程窃听威胁
2025年6月26日，德国安全公司ERNW在TROOPERS安全大会上披露，台湾络达（Airoha）生产的蓝牙音频芯片存在三项高危漏洞，波及索尼、Bose、JBL、马歇尔等全球十大品牌的至少29款耳机与音箱设备，影响用户量可能达数百万。
核心漏洞包括：未授权访问设备内存和闪存（CVE-2025-20702）、蓝牙GATT服务未加认证（CVE-2025-20700）、以及经典蓝牙连接跳过配对验证（CVE-2025-20701）。研究人员成功利用漏洞从索尼WH-1000XM5耳机提取蓝牙密钥，并劫持安卓手机拨出监听电话，验证了从内存读取到远程监听的完整攻击路径。
由于问题源于芯片底层调试协议的缺陷，这些漏洞无法通过常规应用更新修复，需设备厂商集成Airoha提供的新版SDK固件。令人担忧的是，截至6月底，多款受影响设备尚未发布安全补丁，包括索尼、马歇尔等品牌的旗舰产品。
ERNW提醒，虽然攻击需在蓝牙10米范围内完成，且需具备较高技术门槛，但对于记者、政要、商务高管等高价值目标而言，风险不容忽视。建议此类用户暂停使用相关耳机产品，在敏感场合使用有线耳机或经过验证的加密音频设备。
此次事件再次暴露出消费电子供应链中的安全盲区：部分品牌商甚至不知其产品使用了存在漏洞的芯片，导致补丁响应滞后，风险长期存在。研究团队呼吁业界重视硬件通信协议的认证机制，建立更透明可靠的供应链安全体系。
具体列表见评论区
2025年6月26日，德国安全公司ERNW在TROOPERS安全大会上披露，台湾络达（Airoha）生产的蓝牙音频芯片存在三项高危漏洞，波及索尼、Bose、JBL、马歇尔等全球十大品牌的至少29款耳机与音箱设备，影响用户量可能达数百万。
核心漏洞包括：未授权访问设备内存和闪存（CVE-2025-20702）、蓝牙GATT服务未加认证（CVE-2025-20700）、以及经典蓝牙连接跳过配对验证（CVE-2025-20701）。研究人员成功利用漏洞从索尼WH-1000XM5耳机提取蓝牙密钥，并劫持安卓手机拨出监听电话，验证了从内存读取到远程监听的完整攻击路径。
由于问题源于芯片底层调试协议的缺陷，这些漏洞无法通过常规应用更新修复，需设备厂商集成Airoha提供的新版SDK固件。令人担忧的是，截至6月底，多款受影响设备尚未发布安全补丁，包括索尼、马歇尔等品牌的旗舰产品。
ERNW提醒，虽然攻击需在蓝牙10米范围内完成，且需具备较高技术门槛，但对于记者、政要、商务高管等高价值目标而言，风险不容忽视。建议此类用户暂停使用相关耳机产品，在敏感场合使用有线耳机或经过验证的加密音频设备。
此次事件再次暴露出消费电子供应链中的安全盲区：部分品牌商甚至不知其产品使用了存在漏洞的芯片，导致补丁响应滞后，风险长期存在。研究团队呼吁业界重视硬件通信协议的认证机制，建立更透明可靠的供应链安全体系。
具体列表见评论区
❤17👍4😁3
黑客反制“数码施暴者”：26家跟踪软件公司相继被攻陷
随着数字工具在生活中无孔不入，一种以“安全”与“关怀”为幌子的隐秘暴力也在悄然蔓延——跟踪软件（Stalkerware）。它们声称可用于“保护”配偶、子女或员工，实则在未经当事人同意的情况下，对其通话、短信、照片、定位乃至社交行为实施全方位监控。近年来，这类灰色软件不仅饱受人权组织谴责，也成为黑客“正义出击”的目标。
据《TechCrunch》统计，自2017年至今，已有至少26家跟踪软件公司被黑客入侵或因安全配置失误导致大规模数据泄露。2025年7月，Catwatchful被爆出遭黑，近2.6万名用户信息遭曝光，成为最新一例。更早之前，FlexiSpy、SpyFone、mSpy、SpyX等多个应用都曾因安全漏洞将数以万计受害者的私密照片、聊天记录和地理位置泄露至网络，部分甚至被攻击者删除服务器、关闭网站。
专家指出，跟踪软件厂商普遍存在技术能力低下、安全防护薄弱等问题，常使用默认密码、硬编码凭证、明文存储等极易被利用的手段。一些软件甚至为了逃避操作系统安全机制，采用类似恶意软件的植入方式，安全风险极高。这类“窥视他人”的工具，反而最容易成为“反噬自身”的靶子。
值得关注的是，许多攻击者并非单纯为牟利，而是出于对数字暴力的反感、希望打击侵犯隐私行为。例如2017年攻击FlexiSpy和Retina-X的匿名组织就曾声明：“我们要摧毁这个有毒的不道德行业。”他们的做法往往不止于泄露数据，更通过删除服务器、瘫痪服务，迫使企业倒闭。
然而行业并未就此偃旗息鼓。多个公司在被曝光后仅是“更名换壳”重新上线，如Spyhide更名为Oospy，SpyFone幕后操盘者重建了SpyTrac。这种循环复活机制令打击效果打折，也反映出监管与法律仍存空白。
从道德与法律角度看，未经同意的监控行为不仅严重侵犯隐私权，更常与家庭暴力、心理控制等形式的施害行为紧密相关。美国联邦贸易委员会、纽约州总检察长等执法机构已陆续出手，将多家厂商判定为违法并强制关闭。与此同时，大量受害者在隐私遭入侵后还面临数据泄露带来的“二次创伤”，成为整场暴力链条中最沉默的受害者。
面对“隐身于手机中的控制工具”，EFF等公益组织呼吁各国加强立法，严禁开发和传播此类应用，同时提升公众的数据安全素养，尤其是鼓励潜在受害者掌握设备的防护机制与法律武器。
科技应是保障安全与自由的手段，而非成为恐惧与控制的载体。黑客一次次向这些窥探工具亮出“反制之剑”，也在提醒我们：隐私侵犯者最终也难逃自身的数字覆灭。
随着数字工具在生活中无孔不入，一种以“安全”与“关怀”为幌子的隐秘暴力也在悄然蔓延——跟踪软件（Stalkerware）。它们声称可用于“保护”配偶、子女或员工，实则在未经当事人同意的情况下，对其通话、短信、照片、定位乃至社交行为实施全方位监控。近年来，这类灰色软件不仅饱受人权组织谴责，也成为黑客“正义出击”的目标。
据《TechCrunch》统计，自2017年至今，已有至少26家跟踪软件公司被黑客入侵或因安全配置失误导致大规模数据泄露。2025年7月，Catwatchful被爆出遭黑，近2.6万名用户信息遭曝光，成为最新一例。更早之前，FlexiSpy、SpyFone、mSpy、SpyX等多个应用都曾因安全漏洞将数以万计受害者的私密照片、聊天记录和地理位置泄露至网络，部分甚至被攻击者删除服务器、关闭网站。
专家指出，跟踪软件厂商普遍存在技术能力低下、安全防护薄弱等问题，常使用默认密码、硬编码凭证、明文存储等极易被利用的手段。一些软件甚至为了逃避操作系统安全机制，采用类似恶意软件的植入方式，安全风险极高。这类“窥视他人”的工具，反而最容易成为“反噬自身”的靶子。
值得关注的是，许多攻击者并非单纯为牟利，而是出于对数字暴力的反感、希望打击侵犯隐私行为。例如2017年攻击FlexiSpy和Retina-X的匿名组织就曾声明：“我们要摧毁这个有毒的不道德行业。”他们的做法往往不止于泄露数据，更通过删除服务器、瘫痪服务，迫使企业倒闭。
然而行业并未就此偃旗息鼓。多个公司在被曝光后仅是“更名换壳”重新上线，如Spyhide更名为Oospy，SpyFone幕后操盘者重建了SpyTrac。这种循环复活机制令打击效果打折，也反映出监管与法律仍存空白。
从道德与法律角度看，未经同意的监控行为不仅严重侵犯隐私权，更常与家庭暴力、心理控制等形式的施害行为紧密相关。美国联邦贸易委员会、纽约州总检察长等执法机构已陆续出手，将多家厂商判定为违法并强制关闭。与此同时，大量受害者在隐私遭入侵后还面临数据泄露带来的“二次创伤”，成为整场暴力链条中最沉默的受害者。
面对“隐身于手机中的控制工具”，EFF等公益组织呼吁各国加强立法，严禁开发和传播此类应用，同时提升公众的数据安全素养，尤其是鼓励潜在受害者掌握设备的防护机制与法律武器。
科技应是保障安全与自由的手段，而非成为恐惧与控制的载体。黑客一次次向这些窥探工具亮出“反制之剑”，也在提醒我们：隐私侵犯者最终也难逃自身的数字覆灭。
👍39❤5😁1
美国CBP招标AI边境取证工具，隐私权在宪法“真空地带”滑落
2025年7月初，《连线》杂志曝光，美国海关与边境保护局（CBP）正寻求升级边境数字取证能力，招标新一代AI工具以深度分析查扣电子设备。新系统需支持识别加密应用聊天、分析“隐藏语言”短信、跨视频追踪特定物体（如红色三轮车）及基于大数据识别模式，反映出政府监控正朝“全图景理解”方向演进。
2024年，CBP已对47,000台设备进行搜查，较2015年增长逾450%。现有的Cellebrite工具已支持照片复原、社交关系图谱构建与应用通信分析，且获取数据最长存储15年、并可与外国情报机构共享。
CBP在边境具有“无证搜查权”，非美国公民拒交密码将被拒绝入境，美国公民则可能遭遇设备扣押甚至“高级搜查”。近期事件显示，此权力易被滥用——一位黎巴嫩学者因手机存有“同情真主党”内容遭遣返，引发争议。
数字人权组织批评Cellebrite等厂商助推“监控工具全球化”，表面宣称“拒绝侵犯记者与活动人士隐私”，实则在利润驱动下与多国政府合作。
CBP此举不仅扩张执法权限，更将边境打造为宪法权利的“例外区”。在此区域，种族、宗教、言论历史可能成为进入美国的“风险因子”，设备中任何内容都有可能构成遣返或长期监控的理由。
随着AI技术渗透国家治理体系，CBP的新计划正成为“数字威权主义”的全球样板，也迫使企业高管、记者与异议人士重新评估“携带数据入境”的代价。
参考 [1]
现在频道内所有文章可不标注出处直接复制转载
2025年7月初，《连线》杂志曝光，美国海关与边境保护局（CBP）正寻求升级边境数字取证能力，招标新一代AI工具以深度分析查扣电子设备。新系统需支持识别加密应用聊天、分析“隐藏语言”短信、跨视频追踪特定物体（如红色三轮车）及基于大数据识别模式，反映出政府监控正朝“全图景理解”方向演进。
2024年，CBP已对47,000台设备进行搜查，较2015年增长逾450%。现有的Cellebrite工具已支持照片复原、社交关系图谱构建与应用通信分析，且获取数据最长存储15年、并可与外国情报机构共享。
CBP在边境具有“无证搜查权”，非美国公民拒交密码将被拒绝入境，美国公民则可能遭遇设备扣押甚至“高级搜查”。近期事件显示，此权力易被滥用——一位黎巴嫩学者因手机存有“同情真主党”内容遭遣返，引发争议。
数字人权组织批评Cellebrite等厂商助推“监控工具全球化”，表面宣称“拒绝侵犯记者与活动人士隐私”，实则在利润驱动下与多国政府合作。
CBP此举不仅扩张执法权限，更将边境打造为宪法权利的“例外区”。在此区域，种族、宗教、言论历史可能成为进入美国的“风险因子”，设备中任何内容都有可能构成遣返或长期监控的理由。
随着AI技术渗透国家治理体系，CBP的新计划正成为“数字威权主义”的全球样板，也迫使企业高管、记者与异议人士重新评估“携带数据入境”的代价。
参考 [1]
现在频道内所有文章可不标注出处直接复制转载
👎27🤡11🖕4❤3😇1
网传长亭前技术总监在意大利被FBI逮捕，涉入美疫苗间谍案与Hafnium攻击
2025年7月8日，多方消息证实，前长亭科技技术总监徐泽伟在意大利落地时被美国联邦调查局（FBI）逮捕。FBI指控其参与了2020年针对美国疫苗研究机构的网络间谍活动，以及一项与“中国政府有关”的全球性黑客入侵计划。
据美方描述，该黑客团队自2020年2月起锁定多家美国大学、免疫学家及病毒学研究者，意图窃取新冠疫苗研发机密。徐还被控参与“代号Hafnium”的大规模网络攻击，目标包括数千台涉美政府、政策机构的服务器。
据了解，徐泽伟已于数年前离开长亭，后供职于上海GTA半导体有限公司。长亭科技尚未对其被捕事件公开回应。
目前，美方正寻求将其引渡至美国本土审判。
【AD】球速体育 u存u提当天无上限、不限ip、无需实名信息、大额提款无忧 点击立即注册
2025年7月8日，多方消息证实，前长亭科技技术总监徐泽伟在意大利落地时被美国联邦调查局（FBI）逮捕。FBI指控其参与了2020年针对美国疫苗研究机构的网络间谍活动，以及一项与“中国政府有关”的全球性黑客入侵计划。
据美方描述，该黑客团队自2020年2月起锁定多家美国大学、免疫学家及病毒学研究者，意图窃取新冠疫苗研发机密。徐还被控参与“代号Hafnium”的大规模网络攻击，目标包括数千台涉美政府、政策机构的服务器。
据了解，徐泽伟已于数年前离开长亭，后供职于上海GTA半导体有限公司。长亭科技尚未对其被捕事件公开回应。
目前，美方正寻求将其引渡至美国本土审判。
【AD】球速体育 u存u提当天无上限、不限ip、无需实名信息、大额提款无忧 点击立即注册
👍37😁9🤣9❤4👏2💩1
美国国家核安全局遭黑客入侵，微软SharePoint漏洞再成焦点
据多家外媒披露，美国国家核安全局（NNSA）近期遭遇针对本地部署的微软SharePoint平台的网络攻击，涉及零日漏洞。NNSA隶属于能源部，是负责美国核武系统设计与维护的关键机构。
此次攻击被指利用了尚未修补的SharePoint漏洞，尽管核心核武系统未被入侵，但部分业务网络已受影响。目前微软已发布安全补丁，并确认攻击与多个APT组织相关，包括“Linen Typhoon”等。
微软称，攻击者能窃取登录凭据和身份令牌，伪装为合法用户横向移动，影响或波及至美国教育部、州政府系统及海外多个政府机构。
此次事件凸显高敏感政府系统在本地部署中的安全短板，也再次引发对关键基础设施“上云”与定期补丁的重要性关注。
据多家外媒披露，美国国家核安全局（NNSA）近期遭遇针对本地部署的微软SharePoint平台的网络攻击，涉及零日漏洞。NNSA隶属于能源部，是负责美国核武系统设计与维护的关键机构。
此次攻击被指利用了尚未修补的SharePoint漏洞，尽管核心核武系统未被入侵，但部分业务网络已受影响。目前微软已发布安全补丁，并确认攻击与多个APT组织相关，包括“Linen Typhoon”等。
微软称，攻击者能窃取登录凭据和身份令牌，伪装为合法用户横向移动，影响或波及至美国教育部、州政府系统及海外多个政府机构。
此次事件凸显高敏感政府系统在本地部署中的安全短板，也再次引发对关键基础设施“上云”与定期补丁的重要性关注。
👍17🤬7❤4🎉1
ChatGPT泄露聊天曝能源公司律师谋划剥削亚马逊土著建水电站
近日网络泄露的10万余条ChatGPT用户聊天记录中，一条内容引发极大争议：某跨国能源集团的一名律师在与AI对话中，试图寻求如何“压低亚马逊土著土地价格”的策略，以便推进在当地兴建水电站的计划。
该律师在对话中称，亚马逊土著“不知道土地价值，也不了解市场运作”，希望AI提供谈判策略，实现最低价获取土地。聊天内容曝光后，引发公众对企业道德与科技滥用的强烈质疑。
此次泄露并非系统漏洞，而是部分用户在分享ChatGPT对话时误勾选“允许搜索引擎抓取”，导致对话被公开存档。目前尽管该功能已被下线，并通过谷歌清除部分索引，但互联网上仍有超过10万条记录可直接访问。
事件凸显出AI平台在对话内容安全管理方面的漏洞，同时也引发关于技术如何被用于操纵弱势群体、侵犯人权的广泛讨论。多方呼吁相关企业应公开说明，并就此类行为承担应有责任。
近日网络泄露的10万余条ChatGPT用户聊天记录中，一条内容引发极大争议：某跨国能源集团的一名律师在与AI对话中，试图寻求如何“压低亚马逊土著土地价格”的策略，以便推进在当地兴建水电站的计划。
该律师在对话中称，亚马逊土著“不知道土地价值，也不了解市场运作”，希望AI提供谈判策略，实现最低价获取土地。聊天内容曝光后，引发公众对企业道德与科技滥用的强烈质疑。
此次泄露并非系统漏洞，而是部分用户在分享ChatGPT对话时误勾选“允许搜索引擎抓取”，导致对话被公开存档。目前尽管该功能已被下线，并通过谷歌清除部分索引，但互联网上仍有超过10万条记录可直接访问。
事件凸显出AI平台在对话内容安全管理方面的漏洞，同时也引发关于技术如何被用于操纵弱势群体、侵犯人权的广泛讨论。多方呼吁相关企业应公开说明，并就此类行为承担应有责任。
😢34🗿8😁6🤬2❤1👍1🤣1
沉浸式翻译重大安全隐患暴露 用户敏感数据遭大规模泄露
近日，浏览器扩展程序“沉浸式翻译”被曝存在严重安全缺陷，导致部分用户生成的翻译快照被搜索引擎抓取并公开索引，大量包含商业机密和个人隐私的内容遭到曝光。
沉浸式翻译的快照功能原本用于分享翻译后的网页或PDF文件，但由于缺乏访问保护机制，任何人都可以通过搜索引擎直接访问这些快照页面。外泄数据中甚至包含加密货币钱包私钥、企业合同、内部通信等高度敏感信息。目前，名为“readit.site.tar.zst”的泄露数据库文件（559.6MB）已在网络流传，可直接提取相关内容。
事件的根源在于两方面：其一，使用第三方或AI翻译服务时，原文数据会传输至外部服务器，存在被训练模型或存储的风险；其二，快照链接未设防爬虫屏障，也无强制密码访问机制，用户在缺乏安全意识的情况下生成了包含敏感信息的快照，造成二次泄露。
专家指出，这类问题与此前ChatGPT对话共享功能引发的搜索引擎抓取事件高度类似，本质上都是平台默认高估了用户的信息安全防护能力，缺乏必要的技术限制与风险提示。
目前，相关快照索引已下线，但已泄露的数据库无法彻底清除。安全人士建议，曾使用沉浸式翻译快照功能的用户应立即回溯自查，评估是否存在隐私和商业机密外泄，并采取应对措施，如更换密钥、修订合同条款等。
此事件再次提醒，任何涉及敏感信息的翻译、共享或存储操作，都应经过加密和访问控制，否则一旦被搜索引擎收录，将造成不可逆的安全后果。
近日，浏览器扩展程序“沉浸式翻译”被曝存在严重安全缺陷，导致部分用户生成的翻译快照被搜索引擎抓取并公开索引，大量包含商业机密和个人隐私的内容遭到曝光。
沉浸式翻译的快照功能原本用于分享翻译后的网页或PDF文件，但由于缺乏访问保护机制，任何人都可以通过搜索引擎直接访问这些快照页面。外泄数据中甚至包含加密货币钱包私钥、企业合同、内部通信等高度敏感信息。目前，名为“readit.site.tar.zst”的泄露数据库文件（559.6MB）已在网络流传，可直接提取相关内容。
事件的根源在于两方面：其一，使用第三方或AI翻译服务时，原文数据会传输至外部服务器，存在被训练模型或存储的风险；其二，快照链接未设防爬虫屏障，也无强制密码访问机制，用户在缺乏安全意识的情况下生成了包含敏感信息的快照，造成二次泄露。
专家指出，这类问题与此前ChatGPT对话共享功能引发的搜索引擎抓取事件高度类似，本质上都是平台默认高估了用户的信息安全防护能力，缺乏必要的技术限制与风险提示。
目前，相关快照索引已下线，但已泄露的数据库无法彻底清除。安全人士建议，曾使用沉浸式翻译快照功能的用户应立即回溯自查，评估是否存在隐私和商业机密外泄，并采取应对措施，如更换密钥、修订合同条款等。
此事件再次提醒，任何涉及敏感信息的翻译、共享或存储操作，都应经过加密和访问控制，否则一旦被搜索引擎收录，将造成不可逆的安全后果。
💩38🤡13❤8
WinRAR爆出零日漏洞 已遭俄黑客利用 植入后门风险高
流行压缩软件 WinRAR 被曝存在高危路径遍历漏洞（CVE-2025-8088），已被俄罗斯黑客组织 RomCom（微软称 Storm-0978）在野利用。受害者只需打开特制压缩包即可触发攻击，后门程序会被自动植入系统。
ESET 于7月18日首次发现攻击活动，并通报 WinRAR 开发商 RARLAB。漏洞允许黑客在压缩包中隐藏 DLL 和快捷方式文件，利用备用数据流绕过警惕，将恶意文件释放到 %TEMP% 等目录，并写入启动项。变体攻击链包括 Mythic Agent（C2控制与载荷投递）、SnipBot（下载额外模块）、MeltingClaw（获取更多恶意组件）。
除 RomCom 外，Bi.Zone 还发现名为 Paper Werewolf 的攻击集群同样利用该漏洞及另一路径遍历漏洞（CVE-2025-6218）发起行动。
WinRAR 于7月30日发布 v7.13 修复漏洞，但因缺乏自动更新，用户需手动升级。RARLAB未在更新公告中披露漏洞已遭利用，称未收到直接受害报告。
ESET警告，该漏洞攻击门槛低、传播快，全球数亿用户若不及时升级，可能面临长期入侵风险。
流行压缩软件 WinRAR 被曝存在高危路径遍历漏洞（CVE-2025-8088），已被俄罗斯黑客组织 RomCom（微软称 Storm-0978）在野利用。受害者只需打开特制压缩包即可触发攻击，后门程序会被自动植入系统。
ESET 于7月18日首次发现攻击活动，并通报 WinRAR 开发商 RARLAB。漏洞允许黑客在压缩包中隐藏 DLL 和快捷方式文件，利用备用数据流绕过警惕，将恶意文件释放到 %TEMP% 等目录，并写入启动项。变体攻击链包括 Mythic Agent（C2控制与载荷投递）、SnipBot（下载额外模块）、MeltingClaw（获取更多恶意组件）。
除 RomCom 外，Bi.Zone 还发现名为 Paper Werewolf 的攻击集群同样利用该漏洞及另一路径遍历漏洞（CVE-2025-6218）发起行动。
WinRAR 于7月30日发布 v7.13 修复漏洞，但因缺乏自动更新，用户需手动升级。RARLAB未在更新公告中披露漏洞已遭利用，称未收到直接受害报告。
ESET警告，该漏洞攻击门槛低、传播快，全球数亿用户若不及时升级，可能面临长期入侵风险。
🤨22❤4🔥3✍1🤡1🥱1😈1🤪1
数十万条 Grok 聊天机器人对话被 Google 索引
2025 年 8 月 20 日，多家科技媒体报道，xAI 的聊天机器人 Grok 出现严重隐私泄露。调查显示，用户通过“分享”功能生成的对话链接被搜索引擎收录，导致超过 37 万条对话可在 Google、必应和 DuckDuckGo 上直接检索。
泄露内容涉及广泛：部分为日常聊天、写作辅助，也包括邮箱密码、心理咨询记录等隐私信息；更有关于毒品制造、炸弹制作和自杀方法的违规指引被公开。部分记者与研究人员的内部工作材料也因此曝光。
问题源于 xAI 未对分享链接设置 noindex 或其他屏蔽措施。事实上，早在 2025 年 1 月就有用户在 X 平台警告此问题，但官方并未修复。与几周前 ChatGPT 的类似事件相呼应，此次再度凸显生成式 AI 在分享与隐私保护上的漏洞。
用户目前可通过 X 的“设置与隐私”删除对话历史，或在应用端移除分享链接。专家建议启用 Grok 的“Private Chat”模式，关闭记忆功能，并避免在 AI 对话中输入敏感信息。
此事件提醒业界：AI 产品需在分享设计中明确提示“对话将公开”，并建立完善的安全过滤与隐私管理机制。对用户而言，也需提升警惕，谨慎使用共享功能。
2025 年 8 月 20 日，多家科技媒体报道，xAI 的聊天机器人 Grok 出现严重隐私泄露。调查显示，用户通过“分享”功能生成的对话链接被搜索引擎收录，导致超过 37 万条对话可在 Google、必应和 DuckDuckGo 上直接检索。
泄露内容涉及广泛：部分为日常聊天、写作辅助，也包括邮箱密码、心理咨询记录等隐私信息；更有关于毒品制造、炸弹制作和自杀方法的违规指引被公开。部分记者与研究人员的内部工作材料也因此曝光。
问题源于 xAI 未对分享链接设置 noindex 或其他屏蔽措施。事实上，早在 2025 年 1 月就有用户在 X 平台警告此问题，但官方并未修复。与几周前 ChatGPT 的类似事件相呼应，此次再度凸显生成式 AI 在分享与隐私保护上的漏洞。
用户目前可通过 X 的“设置与隐私”删除对话历史，或在应用端移除分享链接。专家建议启用 Grok 的“Private Chat”模式，关闭记忆功能，并避免在 AI 对话中输入敏感信息。
此事件提醒业界：AI 产品需在分享设计中明确提示“对话将公开”，并建立完善的安全过滤与隐私管理机制。对用户而言，也需提升警惕，谨慎使用共享功能。
😁29🤡16❤2👎2🖕1
多款密码管理器被曝自动填充安全隐患
捷克安全研究员 Marek Tóth 披露，多款主流密码管理器的自动填充功能存在点击劫持漏洞，黑客可利用 iframe 框架诱导用户触发自动填充，从而窃取账号密码、信用卡信息甚至 2FA 验证码。
研究人员演示的攻击方式表明，用户在网页上点击普通按钮时，隐藏的 iframe 登录表单会被触发，密码管理器扩展随即自动填充凭证，最终泄露敏感数据。此漏洞危害极大，可导致完整账户接管。
目前，Bitwarden、Proton Pass、Roboform、Dashlane 等已完成修复；但 1Password 与 LastPass 仍将其标记为“信息性漏洞”未修补。Bitwarden 已在 2025.8.0 版更新中发布补丁。
研究人员建议用户立即禁用浏览器扩展的自动填充功能，改用快捷键、右键菜单或手动操作填充信息，以换取更高的安全性。
业界指出，这是便利与安全的再次权衡。自动填充极大简化了登录流程，但同时放大了被劫持的风险。ProtonMail 近期推出独立的 2FA 工具 Proton Authenticator，即是通过将双重验证与密码分离，降低自动填充被利用时的整体风险。
捷克安全研究员 Marek Tóth 披露，多款主流密码管理器的自动填充功能存在点击劫持漏洞，黑客可利用 iframe 框架诱导用户触发自动填充，从而窃取账号密码、信用卡信息甚至 2FA 验证码。
研究人员演示的攻击方式表明，用户在网页上点击普通按钮时，隐藏的 iframe 登录表单会被触发，密码管理器扩展随即自动填充凭证，最终泄露敏感数据。此漏洞危害极大，可导致完整账户接管。
目前，Bitwarden、Proton Pass、Roboform、Dashlane 等已完成修复；但 1Password 与 LastPass 仍将其标记为“信息性漏洞”未修补。Bitwarden 已在 2025.8.0 版更新中发布补丁。
研究人员建议用户立即禁用浏览器扩展的自动填充功能，改用快捷键、右键菜单或手动操作填充信息，以换取更高的安全性。
业界指出，这是便利与安全的再次权衡。自动填充极大简化了登录流程，但同时放大了被劫持的风险。ProtonMail 近期推出独立的 2FA 工具 Proton Authenticator，即是通过将双重验证与密码分离，降低自动填充被利用时的整体风险。
🤡34❤7👎1
谷歌宣布收紧APK安装政策 开发者须实名认证
谷歌宣布，自 2026 年起，所有 Android 应用开发者必须完成身份认证，否则其应用将无法在启用 Google Play Protect 的设备上安装，无论是通过 Play 商店、第三方应用商店，还是直接侧载 APK。
这一政策将分阶段推进：
• 2025 年 10 月：首批开发者开始认证流程。
• 2026 年 3 月：所有开发者均可申请身份认证。
• 2027 年起：未经验证的应用在全球范围内被全面禁止安装。
谷歌表示，此举旨在打击恶意软件和金融诈骗。数据显示，侧载渠道的恶意应用数量比 Google Play 高出 50 倍。身份认证将有效阻止攻击者在应用被下架后快速更换马甲重新发布。
此前，谷歌已在 2023 年对 Google Play 商店实施类似措施，如今范围扩大至所有分发渠道。企业开发者需提供经过认证的邓白氏编码。谷歌强调，这一政策类似“机场身份检查”——确认开发者身份，而非审查应用内容。
值得注意的是，该政策 不影响中国用户，因大部分国内 Android 系统未预装 Google Play Protect，除非用户自行安装 GMS 套件，但是中国有自己的反诈中心。
谷歌宣布，自 2026 年起，所有 Android 应用开发者必须完成身份认证，否则其应用将无法在启用 Google Play Protect 的设备上安装，无论是通过 Play 商店、第三方应用商店，还是直接侧载 APK。
这一政策将分阶段推进：
• 2025 年 10 月：首批开发者开始认证流程。
• 2026 年 3 月：所有开发者均可申请身份认证。
• 2027 年起：未经验证的应用在全球范围内被全面禁止安装。
谷歌表示，此举旨在打击恶意软件和金融诈骗。数据显示，侧载渠道的恶意应用数量比 Google Play 高出 50 倍。身份认证将有效阻止攻击者在应用被下架后快速更换马甲重新发布。
此前，谷歌已在 2023 年对 Google Play 商店实施类似措施，如今范围扩大至所有分发渠道。企业开发者需提供经过认证的邓白氏编码。谷歌强调，这一政策类似“机场身份检查”——确认开发者身份，而非审查应用内容。
值得注意的是，该政策 不影响中国用户，因大部分国内 Android 系统未预装 Google Play Protect，除非用户自行安装 GMS 套件，但是中国有自己的反诈中心。
🤣73🤡27🖕14👍6👎5😁5❤4
OpenAI：检测用户危害他人内容，必要时将转交警方
OpenAI 表示，已启动监测机制，对用户与 ChatGPT 的对话进行扫描，若发现存在“伤害他人”的倾向性内容，将交由人工审查，必要时可向执法机关报告。
据介绍，系统将通过分类器标记疑似高风险消息，并交由小型人工团队审核。该团队有权封禁账号，并可在“情况紧急、可能导致严重伤害”的情况下，将对话内容提交给警方处理。
OpenAI 强调，其系统禁止用于伤害他人、自残、自杀、制作武器、破坏财产等用途。目前仅当危害他人的意图明确且紧迫时才会报警，而涉及自残与心理健康危机的内容则暂不通报警方，以尊重用户隐私。
此外，OpenAI 也承认在多轮长对话中，ChatGPT 的安全机制可能失效，出现不恰当回复，未来将提升系统可靠性以减少此类问题。
这一新举措表明 AI 公司在用户安全与隐私之间正在尝试平衡，但也引发关于监控边界与责任归属的进一步讨论。
OpenAI 表示，已启动监测机制，对用户与 ChatGPT 的对话进行扫描，若发现存在“伤害他人”的倾向性内容，将交由人工审查，必要时可向执法机关报告。
据介绍，系统将通过分类器标记疑似高风险消息，并交由小型人工团队审核。该团队有权封禁账号，并可在“情况紧急、可能导致严重伤害”的情况下，将对话内容提交给警方处理。
OpenAI 强调，其系统禁止用于伤害他人、自残、自杀、制作武器、破坏财产等用途。目前仅当危害他人的意图明确且紧迫时才会报警，而涉及自残与心理健康危机的内容则暂不通报警方，以尊重用户隐私。
此外，OpenAI 也承认在多轮长对话中，ChatGPT 的安全机制可能失效，出现不恰当回复，未来将提升系统可靠性以减少此类问题。
这一新举措表明 AI 公司在用户安全与隐私之间正在尝试平衡，但也引发关于监控边界与责任归属的进一步讨论。
🤡70💩33😁9❤8🖕4⚡2