标签： 安全

krypt 和旗下子品牌 iON Cloud洛杉矶机房发生火灾，机柜着火，导致服务中断，造成商业影响。该数据中心领导已在现场处理事故，但服务恢复时间未知。

支付宝流程设计存在安全缺陷，会导致跨域攻击，咸鱼/淘宝交易慎扫不明二维码

目前支付宝存在逻辑漏洞，一个精心构造的虚假页面可以直接拉起确认收货提示框，如果此时确认收货会钱货两空。
虽然确认收货需要二次验证（密码、指纹、面容），但如果使用了 Face ID，这个二次验证基本等于自动确认。Mozzie（蚊子）大佬录制了一段视频来展示复现过程，可以看到在开启 Face ID 的情况下会直接完成确认收货操作。
目前支付宝似乎已对大额交易进行风控（确认收货后仍然冻结 3 天资金），但是小额交易仍需谨慎。
这个问题在一周前就已在知乎（相关文章）和小红书等平台被数人提起，但至今除了风控之外没有进一步动作。（Soha 的日常频道）

淘宝系 App 本身并不提供担保服务，担保交易功能由支付宝提供。这个接口是公开的 isbridge 接口，不管是阿里系还是第三方都在调用这个接口。接口设计之初并没有考虑到根据调用域名来鉴权，所以并不容易改动。

PS ：看起来调用这个接口时支付宝并没有做二次确认，直接触发了确认流程（ FaceID ) ，连付款都是假的。这个页面全套流程都是假的，但用户看到的流程和「支付 1 元」的流程别无二致，大概也是这么多人上当的原因。反而不是代码上的漏洞，而是逻辑上的漏洞。最简单的修复方式大概是在支付宝 SOK 里对「确认收货」行为做二次弹窗确认了。

在官方修复前（距问题发现已一周多），目前能想到的缓解措施如下：

· 避免扫难以确认安全性的二维码，尤其是在网购交易过程中
· 关闭人脸支付，避免扫到问题二维码后，无交互式的直接确认了
· 关闭小额免密支付

—— V2EX

工业和信息化部信息通信管理局指导腾讯公司 做好重要业务系统安全稳定运行工作

4月12日，工业和信息化部信息通信管理局听取腾讯公司关于“ 3·29 ”微信业务异常情况汇报，要求腾讯公司进一步健全安全生产管理制度、落实网络运行保障措施，坚决避免发生重大安全生产事故，切实提升公众业务安全稳定运行水平。

—— 财经网

美国情报大泄露 泄密者为20多岁枪支爱好者

《华邮》星期三（4月12日）报道，这名泄密者在社群聊天平台Discord的一个群组里分享机密信息。这个群组共有约20名男子和年轻男孩，他们“共同热爱枪支、军事装备和上帝”。报道是根据与群组里两名成员所进行的访问所写的。

Discord星期三较早时发声明说，公司正与执法部门合作。

五角大楼正在评估美国机密信息泄露事件所造成的损失。五角大楼移交此事后，司法部上周开始进行正式的刑事调查。

泄密者的名称是“OG”，即“原始的大佬”（Original Gangster），或意指一个老派的传统主义者。一名消息人士说，泄密者相信是20来岁的男子，深受群组里成员的尊重。其中一名成员说：“他很健硕。他很强壮。他有武器。他受过训练。在某种疯狂的电影可以想象得到的那种。”这名成员未满18岁，在征得母亲同意后匿名发言。

这次相信是美国多年来最严重的文件泄露事件。美国敏感文件的图片被发布在Discord和其他平台上，包括线上消息板4Chan、加密的Telegram应用和社媒平台推特。

美国国家安全机构和司法部正在调查这起事件，以评估对国家安全，以及与盟友和包括乌克兰在内的其他国家关系的损害。

—— 联合早报

香港居民本月起接收境外来电将有防诈骗提示

据香港中通社报道，电话骗案层出不穷，为提高市民警觉性，香港特区政府通讯事务管理局办公室（通讯办）星期二（4月11日）公布，香港移动网络运营商本月起就来电号码为“+852”开头的境外来电，向所有流动服务用户发送话音提示或文字讯息，以提醒用户有关来电源自境外。

移动网络运营商会就“+852”来电向所有移动服务用户发送统一的提示内容：“来电源自香港境外，慎防诈骗。”话音提示会以粤语、普通话及英语读出，文字讯息则以中英文提供。所有移动网络运营商将于5月1日全面实施相关提示安排。

有关提示服务由移动网络运营商免费提供，用户无需事先在手机上做任何设定。

—— 联合早报