安全与隐私新闻概述

Teh 更新时间 2024年12月25日

摄影：Kristoffer Tripplaar/Alamy

本周的一次重大协调披露强调了在图形处理单元（GPU）设计中优先考虑安全性的重要性。研究人员发布了关于“LeftoverLocals”漏洞的详细信息，该漏洞影响多个主流GPU品牌和型号，包括Apple、Qualcomm和AMD芯片，可能被利用来窃取敏感数据，例如来自AI系统的响应。

与此同时，加密货币追踪公司Chainalysis的新发现显示，与美元价值挂钩的稳定币在去年与加密货币相关的诈骗和制裁规避中发挥了重要作用。

FTC与数据经纪公司X-Mode达成和解

本月早些时候，美国联邦贸易委员会（FTC）与数据经纪公司X-Mode（现为Outlogic）达成和解，针对其向美国政府和其他客户销售从手机应用程序收集的位置数据的行为。虽然这一行动被一些人视为历史性的隐私胜利，但它也展示了FTC和美国政府在数据隐私执法权力上的局限性，以及许多公司如何规避审查和未能保护消费者数据的后果。

Comcast Xfinity收集用户数据

美国互联网服务提供商Comcast Xfinity可能会收集客户的个人生活数据用于个性化广告，包括他们的政治信仰、种族和性取向信息。如果您是客户，我们提供有关如何选择退出的建议——在可能的范围内。如果您需要一篇适合周末阅读的长篇文章，我们还有27岁密码学研究生如何系统性地揭穿比特币交易匿名性神话的故事。这篇文章摘自WIRED作家Andy Greenberg的非虚构惊悚小说《黑暗中的追踪者：全球追捕加密货币犯罪头目》，本周将以平装本形式出版。

每周安全与隐私新闻汇总

每周，我们都会汇总那些我们没有深入报道的安全和隐私新闻。点击标题阅读完整故事，并保持安全。

CISA推动修补Ivanti VPN漏洞

周五，美国网络安全和基础设施安全局（CISA）发布紧急指令，要求联邦机构修补正在被积极利用的Ivanti Connect Secure和Policy Secure VPN设备中的两个漏洞。CISA的执行助理主任Eric Goldstein告诉记者，CISA已经通知所有运行这些产品版本的联邦机构，共约15个机构已采取缓解措施。“我们并未评估联邦企业面临显著风险，但我们知道风险并非为零，”Goldstein说。他补充说，正在调查是否有联邦机构在攻击者的大规模利用活动中受到影响。

分析显示，多个行为者一直在寻找并利用脆弱的Ivanti设备，以获取全球组织的网络访问权限。该活动始于2023年12月，但最近几天随着漏洞信息和概念验证的出现而加剧。安全公司Volexity的研究人员表示，至少有1700台Connect Secure设备已受到影响。Volexity和Mandiant均看到一些利用活动的动机与间谍活动有关。CISA的Goldstein周五表示，美国政府尚未将任何利用活动归因于特定行为者，但“对这些产品的利用与我们过去观察到的来自中国的行为者如Volt Typhoon是一致的。”

微软称俄罗斯相关组织黑客入侵高级领导邮箱

微软周五表示，1月12日检测到一起系统入侵，归因于被称为Midnight Blizzard或APT 29 Cozy Bear的俄罗斯国家支持行为者。该公司表示已完全修复此次泄露，该事件始于2023年11月，利用“密码喷射”攻击来入侵历史系统测试账户，在某些情况下，攻击者因此能够渗透“非常小比例的微软企业邮箱账户，包括我们高级领导团队的成员以及网络安全、法律和其他职能的员工。”借此访问，Cozy Bear黑客能够提取“某些电子邮件和附加文件”。微软指出，攻击者似乎试图获取有关微软对该组织本身的调查的信息。“此次攻击并非由于微软产品或服务中的漏洞所致，”该公司表示。“迄今为止，没有证据表明威胁行为者访问了客户环境、生产系统、源代码或AI系统。如果需要采取任何行动，我们将通知客户。”

沃尔玛未能遏制超过10亿美元的礼品卡和转账诈骗

攻击者诱骗受害者为他们购买礼品卡的诈骗问题由来已久，但ProPublica的新报道显示，沃尔玛在处理这一问题上尤其失职。十年来，该零售商一直在逃避监管机构和执法部门的压力，未能更仔细地审查礼品卡销售和资金转移，并扩展员工培训，以帮助客户免受坏演员的欺骗和利用。ProPublica在分析中进行了数十次访谈，并审查了内部文件、法庭文件和公共记录。

“他们只关心钱，”美国邮政检查局前欺诈团队负责人Nick Alicea告诉ProPublica。沃尔玛为其努力辩护，声称已停止超过7亿美元的可疑资金转移，并向礼品卡诈骗受害者退款400万美元。“沃尔玛提供这些金融服务，同时努力保护我们的客户免受第三方欺诈者的伤害，”公司在一份声明中表示。“我们有一个强大的反欺诈计划和其他控制措施，以帮助阻止可能利用我们提供的金融服务伤害客户的骗子和其他罪犯。”

缅甸人贩子与“猪屠宰”诈骗的持续冲突

在缅甸，反对军政府的叛军团体暴力对抗政府，而推动“猪屠宰”诈骗的人贩子和虐待行为加剧了冲突。这些诈骗在近年来激增，不仅由坏演员实施，还有一部分受害者是被强迫劳动的工人，他们常常被绑架并被非法拘禁。今年秋天，缅甸的三个兄弟联盟叛军团体控制了缅甸北部掸邦的100个军事哨所，并夺取了与中国接壤的几个城镇，誓言要“消灭电信诈骗、诈骗窝点及其赞助者，包括在中缅边境地区。”

联合国估计，可能有多达10万人被拘禁在柬埔寨的诈骗中心，缅甸有12万人。“我在这个领域工作了20多年，说实话，我们从未见过东南亚目前这种人口数量的情况，”联合国毒品和犯罪办公室人贩子区域项目主任Rebecca Miller对Vox表示。