黑客利用电子银行Dave中漏洞窃取750万用户数据;英国NCSC警告针对体育组织的BEC和勒索攻击

发布时间 2020-07-27

1.黑客利用电子银行Dave中漏洞,窃取750万用户数据




电子银行Dave承认其应用存在安全漏洞,并被黑客利用导致7516625用户详细泄露。Dave表示,该漏洞源于其工程团队之前使用的分析平台Waydev。目前,Dave的泄露信息可在暗网中免费进行访问,包括真实姓名、电话号码、电子邮件、出生日期、家庭住址以及bcrypt加密的密码,某些信息中还包括银行卡信息和社会安全号码。该公司表示,现在他们已经修复了黑客利用的漏洞,并将此事件通知客户,Dave应用的密码也将被重置。


原文链接:

https://www.zdnet.com/article/tech-unicorn-dave-admits-to-security-breach-impacting-7-5-million-users/#ftag=RSSbaffb68


2.犹他大学健康中心遭钓鱼攻击,患者数据泄露



犹他大学健康中心(U of U Health)遭到钓鱼攻击,导致患者数据泄露。2020年4月6日至5月22日,黑客对犹他大学健康中心的员工电子邮件帐户发起网络钓鱼攻击,并对这些账户进行非法访问。经过调查,此次攻击泄露了患者姓名、出生日期、病历号以及与部分临床信息。U of U Health于今年早些时也遭到过类似的攻击事件,自那时以来一直致力于安全性的增强。该大学对此事件的调查正在进行中,并表示会加强信息安全程序。


原文链接:

https://healthcare.utah.edu/publicaffairs/news/2020/06/data-breach.php


3.英国NCSC警告针对体育组织的BEC和勒索攻击



英国国家网络安全中心(NCSC)警告针对体育组织和球队(包括英超足球俱乐部)的勒索软件攻击、网络钓鱼攻击以及商业电子邮件妥协(BEC)欺诈带来的日益增加的风险。据Ipsos MORI调查得出的数据,至少70%的体育组织在去年经历了数据泄露或网络攻击事件,其中的30%在此期间记录了5次以上攻击,比英国企业的平均值高出一倍。在这些攻击事件中,大约30%的组织平均经济损失也达到了10000英镑(12700美元),其中最大的单项损失超过400万英镑(将近5100000美元)。


原文链接:

https://www.bleepingcomputer.com/news/security/uk-govt-warns-of-ransomware-bec-attacks-against-sports-sector/


4.新的Shadow攻击可更改经过数字签名的PDF文件



德国波鸿大学(Ruhr-University Bochum)的研究人员发布报告,发现新的Shadow攻击可更改经过数字签名的PDF文件,该攻击方式可影响Adobe Acrobat Pro、Adobe Acrobat Reader、Perfect PDF、Foxit Reader、PDFelement等应用。该攻击背后的主要思想是视图层的概念,即在PDF文档中彼此重叠的不同内容集。黑客将具有不同层的文档发送给受害者,受害者会在文档的最上面一层进行数字签名,但是当攻击者收到它时,会将另一层更改为可见层。该攻击允许攻击者在不打破加密签名的情况下对具有法律约束力的文件进行恶意操作。


原文链接:

https://www.zdnet.com/article/new-shadow-attack-can-replace-content-in-digitally-signed-pdf-files/


5.研究人员发现可在Alexa商店上传234项违反政策的应用



在为期12个月的Alexa应用商店审查中,研究人员总共尝试上传234项违反政策的Alexa应用程序,最终获得成功并未遇到很大的困难。该研究小组表示,在首次提交时成功认证了193种应用,并有41种被拒绝。但随后在第二次尝试之后,这些应用全部上传成功。在此次实验中,研究人员上传的应用可用来收集私人信息,并列举了部分可能导致恶意应用上传的原因,包含检查不一致、有限的语音检查、对开发人员的过度信任、认证过程涉及到人类和审查过程不够彻底等问题。


原文链接:

https://www.zdnet.com/article/academics-smuggle-234-policy-violating-skills-on-the-alexa-skills-store/#ftag=RSSbaffb68


6.TransUnion统计有27%消费者遭到COVID-19主题钓鱼攻击



TransUnion发布报告,钓鱼攻击是与COVID-19有关的最严重的数字欺诈手段,据统计有27%消费者遭到以COVID-19为主题钓鱼攻击。TransUnion高级副总裁Shai Cohen表示,身份欺诈是攻击者利用网络钓鱼和其他社会工程攻击窃取消费者数据的主要方式。在2020年6月30日至7月6日之间对加拿大、哥伦比亚、香港、南非、英国和美国的7384名受访者进行调查,其中有32%的人表示他们已遭到与COVID-19有关的数字欺诈,主要方式为钓鱼攻击、网上商店欺诈和慈善欺诈等。


原文链接:

https://www.helpnetsecurity.com/2020/07/24/pandemic-themed-phishing-scams/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+HelpNetSecurity+%28Help+Net+Security%29