安全资讯 第3页
聚合当前分类下的最新内容，按时间顺序查看第 3 页精选文章。
得州300万人证件信息外泄：政府外包系统的责任缺口暴露了
得州总检察长披露，Texas Parks & Wildlife 的狩猎和钓鱼许可证销售系统供应商遭入侵，超过300万人的驾照信息、护照号码、邮箱、电话和住址被获取。 这不是得州政府主系统整体被攻破，已知入口是部门许可证系统供应商。 更要紧的问题是：公共服务把高敏感身份数据交给外包系统后，谁负责安全、谁负责通报、公众该按什么信息判断风险。
约 1 万个 GitHub 仓库疑似用克隆项目分发木马，真正危险的是“看起来很正常”
一名研究者通过 GitHub 事件数据和 API 筛选，发现约 1 万个非 fork 仓库疑似克隆正常项目，并在 README 中加入含木马的 zip 下载链接。这个数字不是 GitHub 官方统计，也不能证明所有样本来自同一团伙；但它指向一种更麻烦的分发方式：用提交历史、贡献者列表和搜索索引伪装成正常开源项目。最该紧张的不是所有 GitHub 用户，而是开源维护者、安全研究人员，以及会从陌生仓库下载压缩包的开发者。
美国中期选举前，SAVE项目把选民名册推向隐私风险中心
特朗普政府在2026年中期选举前扩大使用国土安全部SAVE项目，要求多州提交完整选民登记数据，以核查并清理被认定不合格的选民。真正的风险不在于核验本身，而在于用一个原本服务福利资格审查的系统集中处理选民敏感信息，可能放大误删、泄露和联邦越权争议。
欧盟机构账号迁入 W Social：数字主权不能只看服务器在哪
clearsky.app 的 ATproto 索引截图显示，欧盟委员会、冯德莱恩、欧洲央行和拉加德等账号已从 Bluesky 迁至 W Social 服务器。真正的争议不在于公共机构能否使用欧洲平台，而在于以“数字主权”之名迁入一个透明度不足的私营平台，可能把公共传播基础设施交给新的黑箱。
澳洲品牌短信要注册：ACMA 开始卡住“谁能用这个名字发消息”
ACMA 要求从 2026 年 7 月 1 日起，企业、组织、学校、社区团体和国际机构向澳大利亚用户发送带品牌发件人 ID 的短信/MMS 前完成注册。未注册不等于一律屏蔽，但消息可能出现送达中断或展示变化。关键变化不是审短信内容，而是把可随意伪装的品牌名称，变成需要备案、可追责的通信身份。
7.4 万台 Fortinet 防火墙凭据暴露：企业边界设备的旧账被翻出来了
研究人员发现一批俄语犯罪攻击者大规模攻破 Fortinet 防火墙，约 7.4 万台设备、2.1 万多个 IP、194 个国家受影响，规模据称接近互联网上暴露 Fortinet 防火墙的一半。受影响名单涉及 Oracle、Chevron、Lenovo、FedEx、Fortinet、北约防务承包商等，但“数据出现”不能等同于整网沦陷。真正危险的是：远程入口、弱口令、SSL VPN 哈希破解和 AD/Radius 等集中认证系统连成了一条内网入口链。
FTC 起诉 Genesis Tech：订阅陷阱已经从 App 变成支付网络
FTC 起诉 Genesis Tech，称其借塞浦路斯等地壳公司、多个商户账户和跨境资金流转，面向美国消费者运营疑似强诱导订阅应用。 涉案品牌包括 MadMuscles、Unimeal、PDF Guru、Nebula 等；诉状提到，2023 年初至 2025 年中，五家公司产品全球收入近 2.5 亿美元。 这案子的关键不在几个 App 被点名，而在订阅灰产已经公司化、跨境化、支付基础设施化，平台治理还习惯按单个 App 打地鼠。
Fortinet 设备遭大规模入侵：问题不在零日漏洞，而在密码没有换
两家安全公司称，疑似俄语网络犯罪团伙正在入侵全球暴露在互联网上的 Fortinet 防火墙和 VPN 设备，涉及大型企业、政府机构和多个国家。更关键的判断是：攻击并非依赖未知漏洞，而是复用已泄露或已知密码，暴露了企业边界设备的凭据治理短板。
ICE近千万美元采购ITIN数据服务：税号隐私被推向数据经纪商灰区
404 Media查阅的采购记录显示，ICE在6月5日签下一份996.8万美元合同，采购与ITIN税号相关的数据订阅和分析服务。争议点不在“欺诈调查”四个字，而在法院已阻止IRS向DHS/ICE共享类似税务信息后，ICE是否正借商业采购绕开前门限制。现在最该看的，是合同实际数据字段、真实数据源，以及HSI如何区分欺诈调查和移民执法。
FCC反骚扰电话提案，把手机匿名性推到台前
404 Media 本期播客讨论 FCC 拟要求电信公司在办理手机套餐时收集所有客户的政府身份证件号码，名义目标包括遏制 robocall，但代价可能是压缩预付费手机和 burner phone 的匿名空间。真正重要的不是骚扰电话治理本身，而是通信入口一旦实名化，执法、平台和数据系统会获得更稳定的身份锚点。
Secure Boot 旧证书 6 月 24 日到期：别急着怕开不了机，更该查启动防线有没有换钥
6 月 24 日，微软用于 Secure Boot 信任链的三项 2011 年签名证书将到期，新证书是 2023 年版本。多数未更新设备通常不会因此失效，但会少掉针对新 UEFI 启动威胁的完整保护。Windows 10/11 用户要确认 Secure Boot 与系统更新状态，启用 Secure Boot 的 Linux 用户更要盯发行版 shim 更新。
IIS 默认页不是漏洞，真正要查的是误配置链条
原文讨论的是授权漏洞赏金和安全测试里的 IIS 侦察，不是无授权攻击教程。IIS 默认欢迎页只能说明服务暴露，真正的风险常在虚拟主机绑定、配置文件泄露、8.3 短文件名和 ASP.NET 旧机制里。企业安全团队该把这类问题当成资产治理失败来处理，而不是只盯着某个单点漏洞。
苹果 Hide My Email 要换域名：功能没关，但匿名性可能变弱
苹果将在未来数周把 Hide My Email 生成的匿名邮箱从 @icloud.com 迁移到 @private.icloud.com，现有地址仍会继续转发。问题不在功能下线，而在匿名邮箱被域名直接标出来，网站和应用更容易识别、过滤或拒绝。对 iCloud+ 用户来说，重要账户别只押注匿名邮箱；对开发者和邮件服务商来说，过滤规则要跟着改。
GrapheneOS 完成 Android 17 移植：Pixel 用户别急着切 alpha
GrapheneOS 称已在 Android 17 正式发布当天完成移植，并将向公开仓库推送代码，首个 Android 17 官方版本计划次日进入公开测试/发布流程。对 Pixel 和 GrapheneOS 用户来说，真正的问题不是“能不能升”，而是“何时升、用什么通道升、能否承受回退清数据的代价”。
苹果把隐藏邮箱改成 @private.icloud.com，问题不只是后缀
苹果在 2026 年 6 月 15 日的开发者新闻中公告：Sign in with Apple 和 iCloud+ Hide My Email 生成的邮箱别名，将转向 @private.icloud.com 子域名。功能没有被取消，但别名从“混在 iCloud 邮箱里”变成了更容易被识别、筛选、封禁的标签。对重度用户来说，真正变化不是能不能转发邮件，而是隐私别名的伪装性被削弱了。
FIFA 经纪人平台注册账号被指可触达转播系统，问题不只是一个网页漏洞
安全研究员 BobDaHacker 称，她通过注册 FIFA 官方球员经纪人账号，利用后端 API 授权校验缺陷访问了多个内部系统。最敏感的部分是转播相关系统：研究员称它可能控制世界杯比赛电视画面和解说员屏幕内容。现在没有证据显示转播被真实篡改，但这件事已经足够说明，大型赛事的权限边界不能只靠前端入口和账号身份来守。
佛州起诉 TikTok：儿童安全法开始逼平台交作业
佛罗里达州起诉 TikTok，指控其违反 HB3：仍允许 13 岁用户使用平台，也没有落实 14、15 岁用户的父母同意要求。TikTok 否认消极配合，称已善意沟通，并通知佛州 14 岁以下用户账号将被暂停。真正的硬问题是：平台增长依赖低摩擦入口，儿童保护却要求高摩擦验证，这笔成本不能再全推给家长。
M365 Copilot SearchLeak 漏洞已修复：企业 AI 仍卡在提示注入边界
微软已在 2026 年 6 月补丁中修复 M365 Copilot 一个最高危漏洞，Varonis 随后披露概念验证攻击 SearchLeak。它可诱导 Copilot 从用户有权访问的邮件、会议、SharePoint、OneDrive 等内容中提取 2FA 验证码等敏感信息。目前没有证据显示已发生大规模真实攻击，但这件事提醒企业：LLM 很难稳定分清用户指令和第三方内容里的恶意指令。
印度为防 NEET 重考作弊下令临时封禁 Telegram，问题是治理尺度
印度国家考试署下令全国临时封禁 Telegram 至 6 月 22 日，并要求其关闭消息编辑功能至 6 月 30 日，理由是防范 6 月 21 日 NEET（UG）重考作弊。 官方指称作弊团伙利用 Telegram 售卖假试卷、传播误导信息、事后伪造泄题证据，但报道发布时 Telegram 在印度仍可访问，编辑功能也仍正常。 我更在意的是：考试安全当然要守，但用封禁整个平台来处理具体作弊链条，比例和效果都要打问号。
Claude Fable 5 出口管制争议：把“修代码”当越狱，可能伤到防御者
Claude Fable 5 因被认为可通过“fix this code”类提示产出安全测试脚本而受到出口管制限制，Kate Moussouris 批评这是把防御性修复流程误判为越狱能力。真正关键不在于某个模型有多强，而在于政策是否把漏洞修复、补丁解释和测试验证一并视为高危能力；若边界划错，美国网络防御会先受损。
英国拟禁16岁以下用社交媒体：护幼之外，是一场年龄验证大考
英国计划从2027年春季起，禁止16岁以下儿童使用 TikTok、Instagram、YouTube、Snapchat、Facebook、X 等主流社交平台，WhatsApp、Signal 这类消息服务暂不在内。真正的难点不是口号，而是年龄验证：平台责任、儿童安全、隐私采集和数字身份基础设施会被重新分账。家长要看孩子会不会被赶去更危险的角落，隐私用户要盯住验证方案是否变成全民身份门槛。