宾夕法尼亚州立大学的研究人员展示了一种新的远程监控方法，利用手机耳机产生的细微振动重建电话对话。这项被称为无线窃听的技术利用毫米波雷达传感器在最远十英尺（约10米）的距离内探测并解读这些微小的振动。

黑客声称已经入侵了朝鲜政府黑客的计算机并将其间谍活动计划泄露到网上，这为了解这个以保密性著称的国家的黑客行动提供了一个难得的窗口。 这两名黑客分别名为 Saber 和 cyb0rg，他们在最新一期的《Phrack》杂志上发表了关于此次黑客攻击的报告。《Phrack 》杂志是一本具有传奇色彩的网络安全电子杂志，创刊于 1985 年。

近日，OpenAI旗下连接器（Connectors）被曝存在安全漏洞。据悉，用户无需点击，攻击者就能从ChatGPT连接的第三方应用窃取敏感数据，甚至窃取API密钥。

随着越来越多的网站实施年龄验证，许多用户正在迁移到规模较小、监管较少的网站——这无意中增加了他们遭遇恶意软件的风险。网络犯罪分子正利用这一趋势，将恶意代码隐藏在 SVG 图像文件中，这些文件可能会对用户的计算机执行有害操作。

日前有网友发现沉浸式翻译扩展程序的部分用户数据暴露在互联网上，这些数据包含部分敏感内容例如加密货币钱包私钥甚至是企业 / 机构的商业合同等。严格来说此次问题并非安全漏洞而是沉浸式翻译提供的功能存在缺陷，即没有对快照链接进行保护导致搜索引擎爬虫可以直接抓取内容并将其防止互联网上公开索引。

继2024年首次挑战赛取得巨大成功，吸引了众多专业人员和爱好者的关注后，树莓派团队再次推出了一项带有巨额奖金的黑客挑战赛，本次比赛的最高奖金为20000美元（约14.3万元人民币）。

安全研究人员近日披露了OpenAI旗下连接器（Connectors）存在的安全漏洞。该漏洞可被攻击者利用，通过间接提示注入攻击，在无需用户交互的情况下从Google Drive账户中提取敏感信息。

一种针对Windows用户的新型网络攻击正在蔓延，这种攻击利用JPEG图像文件来隐藏恶意软件。根据Genians安全中心的研究，这一攻击由一个与朝鲜有关联的高级持续威胁组织APT37发起。据了解，APT37的攻击手法相当巧妙，他们使用“隐写术”将恶意代码隐藏在JPEG图像中，并注入到名为mspaint.exe的进程中。

安全巨头 CrowdStrike 的研究人员表示，他们已经发现数百起朝鲜人冒充远程 IT 工作者渗透到公司为朝鲜政权牟利的案例，这一数量比前几年急剧增加。根据CrowdStrike 最新的威胁搜寻报告，该公司在过去 12 个月中发现了 320 多起事件，比去年同期增加了 220%，这些事件中朝鲜人通过欺诈手段在西方公司远程担任开发人员。

包裹诈骗的新花样引起了联邦当局的担忧。联邦调查局警告美国人，收到带有二维码的意外包裹时务必提高警惕。根据最近的警报，犯罪分子已经开始利用二维码的普及性，将其作为金融诈骗和身份盗窃的工具。

人工智能公司允许个人通过Google搜索访问聊天，侵犯了用户隐私，而且解决这个问题的尝试似乎失败了。有用户发现，公众可以通过简单的Google搜索轻松访问 ChatGPT 的聊天记录，这暴露了来自不同用户的超过 10 万条 AI 对话。

网络安全公司比特梵德 (Bitdefender) 日前在大华 (Dahua) 发布安全更新修复漏洞后，披露大华多款网络摄像头 ONVIF 协议和文件上传处理程序中的安全漏洞，未经身份验证的攻击者可以借助漏洞远程执行任何命令从而有效接管设备。

Proton 今天推出了Proton Authenticator，这是一款免费的双因素身份验证应用程序，可在 iOS、Android、Windows、macOS 和 Linux 等所有主要平台上使用。

代号 UNC2891 的黑客组织 (也被称为 LightBasin) 日前尝试在银行内部网络中安装树莓派单板计算机而被安全公司识别，UNC2891 的目的是连接银行的 ATM 机网络从而可以控制 ATM 机并直接取出现金。

网络安全巨头Palo Alto Networks周三宣布，计划以250亿美元收购身份管理和安全公司CyberArk。据Palo Alto Networks的新闻稿称，这笔交易将以现金加股票的方式进行，标志着Palo Alto正式进军身份安全领域。

安联人寿证实，在 7 月中旬的一次数据泄露事件中，黑客窃取了其“大多数”客户、金融专业人士和员工的个人信息。该公司周六在向缅因州总检察长中披露了此次数据泄露事件，但并未立即公布安联人寿客户的具体受影响人数。

当 Cid Walker 打开 Tea 应用程序时，她会看到大量关于男人及其明显的“红色”和“绿色”“旗帜”的帖子。“他是个骗子，”沃克大声读出一篇帖子中的一些评论说道。“他常去什么夜店？”另一个人在另一条帖子里问道。“他很可爱。”

轻量级 JavaScript 实用程序库 is 是 NPM 平台上非常流行的项目，该项目每周下载次数高达 220 万次，但在 2025 年 7 月 19 日该项目开发者遭到钓鱼并泄露账户权限，随后黑客开始发布携带后门程序的版本用于远程执行代码。

罗马大学的研究人员开发出一种方法，据称可以仅根据人体干扰Wi-Fi信号的方式重新识别个人身份——这一突破可能会重新引发有关隐私和监控的争论。与依赖面部、指纹或移动设备的生物识别系统相比，该技术功能更强大，侵入性更低；而且与固定位置的摄像头或扫描仪不同，它可以在Wi-Fi网络覆盖的任何空间内追踪个人。

英国政府计划禁止公共部门和关键基础设施组织在勒索软件攻击后支付赎金。必须遵守新提议立法的实体名单包括地方议会、学校和公共资助的国家医疗服务体系 (NHS)。

企业的强大程度取决于其最薄弱的环节，而当这个薄弱环节恰好是员工容易被猜到的密码时，后果可能是毁灭性的。KNP 就是这样一家运输公司，它在北安普敦郡运营着约 500 辆大型卡车。

Ring 再次允许警方向用户索取视频。据《商业内幕》（Business Insider）此前报道，执法技术公司兼泰瑟枪制造商 Axon于4 月宣布，将与 Ring 合作，允许用户“与执法部门分享相关视频，以帮助更快地破案并保护社区安全” 。

安全研究人员称，他们发现中东一家监控公司正在利用一种新的攻击手段诱骗电话运营商泄露手机用户的位置。此次攻击依赖于绕过运营商为防止入侵者访问 SS7（即信令系统 7）而实施的安全保护措施，SS7 是全球电话运营商用来在世界各地路由用户电话和短信的一套私有协议。 

安全研究人员和道德黑客正在发现IT基础设施中隐藏恶意代码的全新且意想不到的地方。即使是看似无害的域名系统（DNS）——所有联网设备的基础命名系统理论上也可能被狡猾的网络犯罪分子或受国家支持的攻击者利用。这凸显了一个日益增长的趋势：数字堆栈中的任何环节，只要平凡无奇，都可能成为复杂威胁的载体。

英国零售集团合作社集团（Co-op）的首席执行官周三表示，在 4 月的一次网络攻击中，黑客窃取了该公司所有客户的个人数据。合作社集团首席执行官希琳・库里 - 哈克（Shirine Khoury-Haq）告诉英国广播公司新闻（BBC News），黑客复制了该公司 650 万会员的名单，但合作社集团在黑客能用勒索软件锁定其系统之前关闭了网络。

安全研究人员和联邦官员表示，尽管美国铁路行业加大了保护关键基础设施的力度，但其大部分技术仍然容易受到远程黑客攻击。该漏洞可能允许攻击者远程锁定列车刹车，早在十多年前就已发现，但直到最近，铁路行业才开始认真采取措施加以解决。

美国司法部周二宣布，前美国陆军士兵卡梅伦·约翰·瓦格尼厄斯承认入侵电信公司并试图通过威胁公布被盗文件进行勒索。美国司法部称，Wagenius 的网名是“kiberphant0m”，他合谋通过窃取登录凭证、暴力穷举和其他技术诈骗 10 家受害公司，然后利用 Telegram 群聊转移被盗凭证并讨论黑客攻击行为。

乌克兰黑客组织 BO Team 声称已经入侵俄罗斯无人机制造商 Gaskar Group 的网络并破坏其运营。BO Team 在其 Telegram 频道上的一篇帖子中宣布了此次入侵事件，并称其与另一个在乌克兰活动的黑客组织乌克兰网络联盟以及乌克兰军事情报部门共同实施了此次攻击。

近日，多伦多大学的研究团队发现了一种名为“GPUHammer”的新型攻击方式。该攻击能够悄无声息地篡改NVIDIA GDDR6显卡上的AI模型，导致其准确率从80%骤降至0.1%，幸运的是，NVIDIA已经抢先发布了关于如何减轻这种情况所涉及风险的指南。

一项早在2012年就被发现的美国火车安全漏洞，在过去13年中一直被美国铁路协会（AAR）忽视，直到网络安全和基础设施安全局（CISA）最近发布了一项安全公告，AAR才开始采取行动。据硬件安全研究员Neils透露，他们在2012年首次发现了这一问题，当时软件定义无线电（SDR）开始普及。

麦当劳绝大多数特许经营商都在使用的AI招聘平台McHire存在安全漏洞，导致超过6400万求职者的个人信息遭暴露。据安全研究人员Ian Carroll的报告，麦当劳的招聘平台McHire使用了Paradox.ai开发的名为Olivia的AI聊天机器人，来收集求职者的个人信息，包括姓名、电话号码、电子邮件地址、物理地址等。

据蓝点网网友分享的最新信息，国内知名中级数字证书颁发机构亚数信息 (TrustAsia) 旗下运营的 MySSL 网站目前存在证书问题，这个问题导致 MySSL 提供的安全签章图片无法正常加载。

网络服务提供商 Cloudflare 日前推出 AI 爬虫红黑榜，通过四个维度对人工智能公司的爬虫进行验证、识别和统计，首批被评测的爬虫包括 OpenAI、Google、Meta、Anthropic、xAI 和字节跳动。

据最新消息，一款广泛应用于二十余款音频设备的蓝牙芯片被发现存在安全漏洞，黑客可以利用这些漏洞进行窃听或窃取敏感信息。研究人员确认，拜雅动力、Bose、索尼、马歇尔、捷波朗、JBL、Jlab、EarisMax、MoerLabs 和 Teufel 的29款设备受到影响，受影响的产品包括音箱、耳塞、头戴式耳机和无线麦克风。

日前有研究人员披露在兄弟、东芝和柯尼卡美能达打印机中发现的安全漏洞 (CVE-2024-51978)，这些打印机制造商为设备生成的管理员密码乃是通过产品系列号算出的，而其算法目前已经被破解。

据报道，兄弟公司旗下689款打印机，以及富士胶片、东芝和柯尼卡美能达公司的53款其他型号存在漏洞，容易受到针对其管理员密码的攻击。报道称，安全研究人员最近发现8个打印机漏洞，这些漏洞的严重性评级从5.3（中等）到9.8（严重），表明其潜在危害不容小觑。

被Meta以148亿美元收购了49%股份的人工智能初创公司Scale AI爆出新的问题，据称其竟然使用公共的谷歌文档来存储Meta、谷歌和xAI等客户的机密信息。谷歌文档是谷歌开发的一款共享软件，用户可以通过邀请或完全公开的方式与他人共同协作完成文稿的创作与编辑。

前段时间名为 IntelBroker 的黑客因为经常公开出售某些企业的敏感数据而名声大噪，当时蓝点网还特地强调这名黑客与英特尔公司没有任何关系，只是黑客自己使用的昵称中带有 Intel 字样。目前这名高调的黑客已经被逮捕，并且调查发现这名 25 岁的黑客似乎从来没有准备隐藏自己的真实身份，因为接收赃款后还使用自己实名认证的账户进行出售，所以很容易就被锁定。

随着以色列和伊朗之间的紧张局势升级，以色列当局敦促公民采取一项不同寻常但至关重要的措施：关闭家用监控摄像头或更改密码。这一警告发布之际，越来越多的证据表明，伊朗正积极试图利用以色列各地的私人监控设备，为军事行动收集情报。

大规模攻击旨在通过向互联网服务发送超过其处理能力的流量来使其瘫痪，其规模越来越大，迄今为止最大的一次攻击流量达到每秒 7.3 太比特，这是互联网安全和性能提供商 Cloudflare 于周五报告的。

本周早些时候，伊朗几乎所有人都无法访问互联网，这被称为“几乎全国性的互联网中断”。 当时，尚不清楚发生了什么事情，也不清楚谁应该对这次断网负责，这严重限制了伊朗人获取与以色列正在进行的战争信息的途径，以及他们与国内外亲人沟通的能力。 现在，伊朗政府已确认下令关闭网络是为了防御以色列的网络攻击。

 Malwarebytes 最近发布警告称，即使访问一些主流品牌的官方网站搜索技术支持电话号码的用户也可能会遇到虚假的联系信息。用户应仔细检查支持网站搜索栏中出现的文字，并谨慎对待 Google 赞助搜索结果（如有）。

此前有钓鱼网站利用转义域名在Google搜索上投放广告诱导用户下载携带后门程序的密码管理器 KeePass，其使用的域名看起来与官方网站相同，但如果用户登录这个后门版本则会导致账户密码等机密信息泄露。

一个旨在向公众宣传疫苗信息的美国政府网站遭到破坏，现在充斥着显然是人工智能生成的垃圾邮件。根据该网站的存档版本，该域名属于美国卫生与公众服务部 (HHS)，至少从 5 月 12 日开始就一直在托管同类内容 - 主要是同性恋主题和 LGBTQ+ 帖子。

消息平台WhatsApp的首席执行官威尔·卡斯卡特 (Will Cathcart) 向BBC表示，计划支持苹果公司与英国内政部就用户数据隐私展开的持续法律斗争。Meta 旗下的服务警告称，此案“可能会开创一个危险的先例”，因为它会鼓励其他政府要求访问加密通信。

日前针对中老年人的技术支持诈骗非常猖獗，这些诈骗中心通过钓鱼网站投放广告并恐吓中老年人，例如声称电脑出现故障需要联系微软技术支持中心进行修复等。当受害者拨打电话时实际上会被转发到位于印度的非法呼叫中心，这些呼叫中心会利用各种借口要求受害者支付技术支持服务费，亦或者威胁受害者不进行处理的话电脑可能会无法正常使用。

Google工程师最近在 GitHub 上发布天建议禁止网站通过浏览器例如 Chrome 访问局域网内的设备，当然也不是完全禁止，而是在用户授权的情况下允许公共网站访问局域网内的设备。其实以前公共网站确实可以直接通过浏览器访问局域网设备，不过 Chrome 也推出名为 PNA 私有网络访问的技术用来施加限制，PNA 技术会预检请求来控制访问权限。

堪培拉当局正在采取强硬措施应对勒索软件威胁。一项新法律将要求某些组织在数据泄露后披露其向网络犯罪分子支付勒索金的时间和金额。然而，专家们仍然不确定这是否是解决问题的最有效方法。

尽管苹果和Google努力屏蔽垃圾电话，但不幸的是，诈骗分子的垃圾电话仍然很常见。随着Android恶意软件开发者日益精明，一份新的安全报告描述了一种旨在对抗反垃圾电话保护措施的新型恶意软件。

6月4日，日前奢侈品品牌卡地亚向部分客户发出邮件称，其系统遭入侵后发生数据泄露事件，导致客户个人信息外泄。邮件内容显示，“未经授权者曾短暂进入我方系统并获取了少量客户信息。我们已控制事态，并进一步强化了系统及数据的防护措施。”

加密货币侦探 @zachxbt 在跟踪链上交易时发现涉及台湾加密货币交易所 BitoPro (币托) 的异常资金转移，具体来说异常资金约为 1150 万美元，这些被盗资金在去中心化交易所售卖然后再通过各种混币器进行洗钱。

据报道，有一人或多人获取了白宫办公厅主任苏西·威尔斯的私人电话中的联系人信息，并利用这些信息联系其他高级官员并冒充她，白宫目前正在展开调查。

维多利亚的秘密（Victoria‘s Secret）已关闭其美国网站，并表示因处理一起未具体说明的 “安全事件”，部分店内服务将无法使用。周四，这家知名内衣品牌的常规购物网站页面上显示一条致顾客的消息，称公司 “作为预防措施” 已暂停这些服务。

托管服务提供商 GoDaddy 此前被发现遭到黑客攻击泄露大量数据，GoDaddy 不仅为客户提供域名注册和托管服务，同时还提供诸如企业邮箱和服务器等托管服务。2023 年 2 月 GoDaddy 发布安全公告称其内部系统遭到黑客持续多年的渗透，具体来说黑客从 2019 年开始就成功破坏 GoDaddy cPanel 共享环境，然后在服务器上安装恶意软件并进行持续攻击。

几十年来，追踪 Cookie 一直是开展基于互联网络业务的基石。这项技术如此普及，甚至连Google都无法彻底“消灭”它并用现代替代方案取而代之。更糟糕的是：Cookie 可以被武器化，用来针对最终用户实施网络犯罪。

Google再次引发了关于数字安全未来的争论，它揭示了破解广泛使用的加密技术所需的硬件可能比之前预想的更近。这项由克雷格·吉德尼 (Craig Gidney) 领导并发布在预印本服务器 arXiv 上的研究表明，一个 2048 位 RSA 加密密钥（网络安全的标准）可以在不到一周的时间内被一台噪声量子比特数不到一百万的量子计算机破解。

今日，有网友发布视频称，华为常务董事兼终端BG董事长余承东驾驶问界M8行驶时头部低垂近20秒，未握方向盘，被网友质疑“开车睡觉”，引发热议。视频显示，拍摄人员向左侧行驶中的车辆大喊“余总，睡着了？”并摁下喇叭，随后余承东在车内招手，摇下车窗并微笑回应。

苏黎世联邦理工学院的计算机科学家发现了英特尔处理器的一个严重漏洞，该漏洞可能使攻击者利用现代芯片预测未来操作的方式窃取敏感信息。黑客使用专门设计的指令序列，可以绕过安全边界，逐步读取共享处理器的整个内存。该漏洞影响个人电脑、笔记本电脑和云服务器中使用的各种英特尔芯片。

知名加密通信应用 Signal Messenger 日前发布消息警告其 Windows 11 用户，该平台的隐私消息遭到 Recall 功能的威胁，为此 Signal for Windows 11 已经发布新版本并阻止微软继续收集其隐私消息。

微软周三表示，在全球执法机构的协助下，其成功瓦解了 Lumma Stealer 恶意软件项目。这家科技巨头在一篇博客文章中称，其数字犯罪部门发现，2025 年 3 月 16 日至 5 月 16 日期间，全球超过 39.4 万台 Windows 电脑感染了 Lumma 恶意软件。

2025 年 4 月份韩国主要通信运营商 SK 电讯 (SK Telecom) 披露该公司遭遇的安全事件，当时 SK 电讯在网络上检测到恶意软件，随后安全团队立即采取行动隔离被黑客入侵的服务器。

日前网络安全公司 Codean Labs 的研究人员披露开源加密库 OpenPGP.js 中的高危安全漏洞，该安全漏洞允许任意伪造签名和加密的消息，这导致依赖于该技术的电子邮件公钥加密被彻底破坏。

如果您拥有一台 Procolored 喷墨打印机，特别是 UV 型号，您可能需要检查您的系统是否存在恶意软件，特别是如果您在过去六个月内下载了官方的配套软件就更应该引起重视，因为最近安全研究人员发现 Procolored 正在分发恶意软件。

据报道，PC游戏商店和社交平台Steam上超过8900万个账户可能遭遇数据泄露，Valve已正式介入并发表声明。该公司表示，已审查了泄露的数据，并确认Steam系统未遭入侵，用户数据安全无虞。该报告最初由X 用户 MellowOnline1于 5 月 12 日发布，他指出了 LinkedIn 上关于暗网销售的帖子，据报道该帖子提供了 8900 万 Steam 用户的数据。

5月12日深夜，多位网友在社交平台发帖，称收到法国奢侈品巨头迪奥（Dior）的短信。据了解，迪奥向中国客户发送短信表示，公司于2025年5月7日发现，曾有未经授权的外部人员获取了其持有的部分客户数据。

在欧洲，针对 OpenDNS、Google 和 Cloudflare 等 DNS 解析器发出的盗版网站屏蔽令层出不穷。由于类似的要求最终可能会出现在包括美国在内的其他国家/地区，我们来看看这些公司对屏蔽令的回应。研究表明，他们的回应大相径庭，这让本已混乱的局面雪上加霜。

网络安全公司Hive Systems的专家测试了现代显卡对密码选择速度的影响，重点测试对象是英伟达GeForce RTX 5090显卡。在处理哈希密码时，这款显卡的效率比RTX 4090显卡高出33%。

一项国际联合执法行动关闭了两项服务，这些服务被指控向网络犯罪分子提供由被黑客入侵的联网设备（包括路由器）组成的僵尸网络。美国检察官还起诉了四名被控入侵这些设备并运行僵尸网络的人员。

美国社交媒体巨头Meta周二表示，已从以色列间谍软件公司NSO集团获得1.68亿美元的赔偿金，此前该公司被认定对Meta系统遭黑客袭击负有责任，从而结束了这场长达六年之久的法律纠纷。

提起隐私泄露这事儿其实早就麻了……平时网购、换手机号、注册各种账号之类的都会咔咔泄露，根本就防不住。但真是没想到，浏览器里会有一个看起来完全人畜无害的功能，也在偷偷泄露我们的个人隐私，而且这一泄露就 23 年……

美国总统唐纳德·特朗普最近表示，他更希望自己的政府不要使用Signal即时通讯应用。但最近的一张照片显示，他的团队似乎并未听从。

一名使用化名“NullBulge”的加州男子承认非法访问迪士尼内部 Slack 频道并窃取超过 1.1 TB 的公司内部数据。据美国司法部称，一名名叫瑞安·克莱默 (Ryan Kramer) 的 25 岁年轻人在 2024 年初创建了一个恶意程序，并在 GitHub 等平台上宣传为 AI 图像生成工具。

表明，去年现实世界网络攻击中大多数零日漏洞都是由政府黑客发起的。Google的报告称，零日漏洞（指黑客利用时软件制造商未知的安全漏洞）的数量已从 2023 年的 98 个下降到 2024 年的 75 个。但报告指出，在Google可以归因的零日漏洞比例中（即确定负责利用这些漏洞的黑客），至少有 23 个零日漏洞与政府支持的黑客有关。

早前 GitHub 因为失误部署了屏蔽所有中国 IP 地址的规则，中国 IP 地址访问时会出现禁止访问提示，随后 GitHub 更新规则并解释是部署错误，更新规则后中国 IP 地址可以重新访问。

一款本应用于监视员工的监控工具，却正在将数百万张实时截图泄露到公开网络上。你的老板在监视你的屏幕并不是故事的结局。其他人也可能正在观看。Cybernews的研究人员发现了一起涉及WorkComposer的重大隐私泄露事件。WorkComposer是一款职场监控应用，被无数公司的20多万用户使用。

据美国司法部官员称，一名涉嫌参与臭名昭著的 Scattered Spider （零落蜘蛛）网络犯罪集团的成员于周三从西班牙被引渡至美国。来自苏格兰的23岁男子泰勒·布坎南（Tyler Buchanan）去年因涉嫌参与窃取美国消费者敏感数据和价值数千万美元的加密货币而被捕。

什么？电动汽车以后要跟着火说拜拜了？近年来电池安全事故层出不穷，不停挑动着大众的神经，大伙对相关法规的呼声也是越来越高。然后， “史上最严电池国标” 它终于来啦。

内华达州做出了一项至关重要的法律判决，一名联邦法官对一种备受争议的调查工具“信号塔转储”的合宪性提出了质疑。这种执法方法允许警方从手机信号塔大规模收集数据，捕获特定时间段内连接到信号塔的每台设备的信息。这种做法可以获取数千部手机的位置和身份信息，已被广泛用于协助刑事调查，同时也引发了关于隐私和宪法权利的激烈争论。

IEEE Access 发表的一项研究揭示了新一代 DNA 测序 (NGS) 的缺陷。NGS 是精准医疗、癌症研究和追踪传染病的关键工具。研究人员警告称，如果不改进安全措施，黑客可能会利用该技术，导致数据盗窃和生物威胁等风险。

像素化和模糊滤镜(打码)通常用于审查敏感或露骨内容。然而，能够逆转这些影响的工具最近已变得广泛普及。虽然重建的图像并非完全清晰，但它们仍然可以揭示几乎所有被审查视频中隐藏的细节。

CISA 表示，美国政府已扩大资金投入，以确保关键的通用漏洞和暴露 (CVE) 计划不会出现连续性问题。这家美国网络安全机构表示：“CVE 项目对网络社区至关重要，也是 CISA 的首要任务。昨晚，CISA 执行了合同中的选择期，以确保关键的 CVE 服务不会出现中断。我们感谢合作伙伴和利益相关者的耐心。”

苹果和其他科技公司一样，依赖通用漏洞披露 (CVE) 项目来识别和追踪其软件中的安全漏洞。由于联邦政府今天突然切断了对 CVE 的资助，这一关键的网络安全资源如今面临着不确定的未来。

通用漏洞与暴露 (CVE) 计划的资金即将耗尽。该系统被微软、Google、苹果、英特尔和 AMD 等大公司用于识别和追踪公开披露的网络安全漏洞。该计划帮助工程师识别漏洞的严重程度，并确定应用补丁或其他缓解措施的优先级。

汽车租赁巨头赫兹（Hertz）提醒客户，其信用卡信息和社会安全号码等个人信息可能在一次数据泄露事件中被盗，此次事件影响了该公司的一家供应商。赫兹在其网站上发布的通知中表示，在2024年10月至2024年12月期间，该公司数据“被未经授权的第三方获取”，当时该攻击利用了Cleo Communications文件传输平台的零日漏洞。

TP-Link系统公司今日宣布，其已获得通用漏洞披露计划（CVE）的正式授权，成为CVE编号机构（CNA）。此项授权使TP-Link能够为其产品可能相关的某些漏洞分配CVE编号，进一步巩固了其主动网络安全措施的承诺。

此前苹果向 CA / 浏览器论坛 (负责管理 SSL/TLS 证书的行业组织) 提议将所有证书有效期缩短至 45 天，苹果给出的理由也非常简单，有效期缩短后即便证书泄露也很快就会过期而不会被长时间利用。

一位安全研究人员最近发现了近三十个 Chrome 网上应用店扩展程序表现出可疑行为。许多扩展程序伪装成搜索助手，而另一些则伪装成广告拦截器、安全工具或扩展程序扫描器——所有这些扩展程序都神秘地链接到一个未使用的域名。

Everest 是个自 2020 年开始运营的勒索软件，该勒索软件背后的团伙对大量企业和机构发起攻击，然后将其数据先回传到黑客的服务器再进行加密。如果受害者不愿意支付赎金的话，不仅无法解密文件，黑客还会将受害者机密数据通过其暗网站点进行公开发布，以此逼迫受害者支付赎金。

美国汽车协会交通安全基金会刚刚发表了一项研究报告，发现使用智能手机应用程序监控驾驶员行为，然后通过短信或数据仪表板提供该行为的摘要，可以提高驾驶安全性。

负责制定数字证书签发和验证的行业机构 CA / 浏览器论坛在 2024 年 9 月讨论过 WHOIS 验证申请证书并认为这种方式已经过时，因此当时该机构就提出要直接弃用这种验证方式。CA / 浏览器论坛是由证书颁发机构 (CA)、操作系统开发商、软件开发商、浏览器开发商、安全邮件软件开发商等组成的行业联盟，主要负责制定 TLS/SSL 数字证书的签发、验证和安全政策。

跨介质窃听技术挑战了人们对水下通信安全性的长期假设。普林斯顿大学和麻省理工学院的研究人员开发出一种从空中拦截水下通信的方法，挑战了人们对水下传输安全性的长期看法。

OpenAI 表示，它将把“特殊和差异化关键发现”的赏金从 20000 美元提高到 100000 美元。通过将赏金提高五倍，OpenAI 希望确保能够吸引最优秀的人才来检查其产品和服务以发现问题。

乌克兰国有铁路运营商 Ukrzaliznytsia 周一表示，其遭受了大规模网络攻击。在其官方 Telegram 频道上的声明，此次网络攻击影响了包括通过移动应用程序在内的在线售票，但列车服务仍继续运行。

来自俄罗斯的漏洞经纪商 Operation Zero 是个专门收购和出售安全漏洞的公司，无论是软件漏洞还是硬件漏洞，只要具有较高的利用价值那么就可以收购和出售。

开源 / 自由软件的官方网站或源代码托管通常都是可以公开访问的，但提供公开访问是需要服务器和带宽支撑的，正常情况下真实用户访问不会给服务器带来多少压力。知名桌面环境 GNOME 管理员分享了关于服务器流量的分析数据，数据表明在 2.5 小时内 GNOME 收到 81000 个请求，其中只有 3% 通过 Anubi 的工作量证明，这意味着剩余 97% 都是爬虫而非真人访问。

据报道，朝鲜政府正在情报机构侦察总局（RGB）内建立一个新的黑客组织。 专注于朝鲜问题的新闻机构，据朝鲜政府内部一位消息人士透露，这个名为 227 研究中心的新黑客部门将专注于研究开发“攻击性黑客技术和程序”。

一份新报告显示，去年网络犯罪分子利用窃取信息的恶意软件造成了毁灭性的影响，窃取了敏感数据，从而引发了勒索软件、入侵以及针对供应链和关键基础设施的攻击。

51 岁的罗斯季斯拉夫・帕内夫 (Rostislav Panev) 在 2024 年 8 月被以色列执法机构逮捕，不过现在已经引渡至美国新泽西州等待法院的审判。帕内夫具有俄罗斯和以色列双重国籍，初步调查显示帕内夫在 2019 年～2024 年 2 月担任 LockBit 勒索软件的开发者，工作内容包括为 LockBit 其他成员提供指导以及负责设计和维护用于展示数据的代码库。

Akira 是一种危险的多平台勒索软件威胁，自 2023 年以来一直很活跃。 该恶意软件以"勒索软件即服务"（ransomware-as-a-service）产品的形式提供给网络犯罪分子，已成为 250 多个组织的目标，为其未知开发者赚取了高达 4200 万美元的收入。

供应链攻击虽然发生的次数不多但每次发生都可能造成非常严重的影响，例如现在 GitHub Actions 平台出现知名的 Actions 被投毒，超过 23,000 家企业受到此次供应链攻击的影响。