标签： 网络安全

西部数据公布失窃数据的具体信息

上个月，PC 存储公司 Western Digital （西部数据）报告称“未经授权的第三方”入侵了其网络。上周末，Western Digital 终于提供了有关攻击及其后果的更多信息。

在一份新闻稿中，该公司表示，“第三方”访问了一个数据库，其中包含有关西部数据在线商店的信息。它说：

这些信息包括客户姓名、账单地址和送货地址、电子邮件地址和电话号码。此外，该数据库还包含加密格式的散列和加盐密码以及部分信用卡号。我们将直接与受影响的客户沟通。

该公司的声明补充说，它知道一名未具名的黑客公开声称已获得该公司的代码签名证书，据称该证书可用于冒充西部数据。该公司表示正在“调查这些数据的有效性”，但补充说它“控制了我们的数字证书基础设施”。

Western Digital 表示，虽然对黑客攻击的调查仍在进行中，但一旦知道攻击事件，它就会采取积极措施，将其系统从互联网上撤下。

—— Neowin

支付宝流程设计存在安全缺陷，会导致跨域攻击，咸鱼/淘宝交易慎扫不明二维码

目前支付宝存在逻辑漏洞，一个精心构造的虚假页面可以直接拉起确认收货提示框，如果此时确认收货会钱货两空。
虽然确认收货需要二次验证（密码、指纹、面容），但如果使用了 Face ID，这个二次验证基本等于自动确认。Mozzie（蚊子）大佬录制了一段视频来展示复现过程，可以看到在开启 Face ID 的情况下会直接完成确认收货操作。
目前支付宝似乎已对大额交易进行风控（确认收货后仍然冻结 3 天资金），但是小额交易仍需谨慎。
这个问题在一周前就已在知乎（相关文章）和小红书等平台被数人提起，但至今除了风控之外没有进一步动作。（Soha 的日常频道）

淘宝系 App 本身并不提供担保服务，担保交易功能由支付宝提供。这个接口是公开的 isbridge 接口，不管是阿里系还是第三方都在调用这个接口。接口设计之初并没有考虑到根据调用域名来鉴权，所以并不容易改动。

PS ：看起来调用这个接口时支付宝并没有做二次确认，直接触发了确认流程（ FaceID ) ，连付款都是假的。这个页面全套流程都是假的，但用户看到的流程和「支付 1 元」的流程别无二致，大概也是这么多人上当的原因。反而不是代码上的漏洞，而是逻辑上的漏洞。最简单的修复方式大概是在支付宝 SOK 里对「确认收货」行为做二次弹窗确认了。

在官方修复前（距问题发现已一周多），目前能想到的缓解措施如下：

· 避免扫难以确认安全性的二维码，尤其是在网购交易过程中
· 关闭人脸支付，避免扫到问题二维码后，无交互式的直接确认了
· 关闭小额免密支付

—— V2EX

有黑客正在兜售超过 6.3 亿条中国公民的敏感数据。这些信息包括姓名、身份证号码、DoB、地址、电话、性别和银行卡号码。黑客报价80,000 美元。

本频道获得了一份据称是样本的1万条数据，但是无法立即验证这些信息的真伪。

美国政府酝酿对卡巴斯基采取执法行动，为打击TikTok进行一场预演

华盛顿——据知情人士透露，拜登总统的商务部正在权衡根据其在线安全规则对卡巴斯基实验室采取执法行动，卡巴斯基实验室是一家俄罗斯网络安全公司，长期以来一直面临对美国构成威胁的指控。

据一些知情人士称，该行动——如果成为现实——可能成为商务部在监管网络威胁方面日益重要的作用的一个测试案例，他们表示针对卡巴斯基实验室的潜在行动可能成为针对 TikTok 或其他中国控制技术的类似行动的典范。

据报道，在卡巴斯基采取执法行动之前，美国出台了一项新立法，该立法将允许白宫在中国的 TikTok 或其他外国技术构成国家安全风险时禁止这些技术。

—— 华尔街日报 ， 路透社

调查显示三分之一的组织承认掩盖过数据泄露

在一个网络犯罪变得越来越难以预防的世界里，许多安全领导者正在向 IT 专业人员施加压力，要求他们掩盖真相。

网络安全供应商 Bitdefender 今天发布的新研究调查了 400 多名在拥有 1,000 名或更多员工的公司工作的 IT 和安全专业人员。Bitdefender 发现，接受调查的 IT 和安全专业人士中有 42% 被告知在应该报告违规行为时对违规行为保密——即掩盖违规行为。

也许更令人震惊的是，29.9% 的受访者承认掩盖过违规行为而不是报告。

这项研究强调，数量惊人的组织愿意无视其向监管机构和客户报告数据泄露的义务，以试图避免法律和经济处罚。

—— VentureBeat