美国CISA、DOE和英国的NCSC联合发布《ICS网络安全最佳实践》;印度2910万求职者信息泄露,来源未知

发布时间 2020-05-25

1.美国CISA、DOE和英国的NCSC联合发布《ICS网络安全最佳实践》



美国网络安全和基础设施安全局(CISA)、能源部(DOE)和英国国家网络安全中心(NCSC)联合发布了《工业控制系统网络安全最佳实践》,这是一个长达两页的信息图,主要先容了工业控制系统(ICS)网络安全最佳实践方法。该信息图总结了ICS常见的风险考虑因素、短期和长期的网络安全事件影响、保护ICS流程的最佳做法,并重点先容了NCSC在安全设计原则和运营技术方面的产品。


原文链接:

https://www.us-cert.gov/ncas/current-activity/2020/05/22/cisa-doe-and-uks-ncsc-issue-guidance-protecting-industrial-control


2.微软为Edge发布安全更新,修复特权提升漏洞



微软在5月22日发布了一个安全更新,以解决基于Chromium的Edge中的特权提升漏洞(CVE-2020-1195)。攻击者可以利用此漏洞在任意位置写入文件并获得更高的权限。该漏洞本身不允许实行任意代码,但是,攻击者可以结合使用此漏洞与一个或多个其他漏洞(例如,远程代码实行漏洞和另一种特权提升漏洞),以利用更高权限实行代码。此次安全更新通过修改微软 Edge的反馈扩展验证文件来修复此漏洞。


原文链接:

https://www.us-cert.gov/ncas/current-activity/2020/05/22/microsoft-releases-security-update-edge


3.印度教育网站EduCBA遭到黑客攻击,泄露用户数据



5月22日,印度在线教育网站EduCBA通过邮件通知其客户,他们遭到了黑客入侵,并且用户数据泄露。在该通知中,并没有详细说明被窃信息,只是简单地指出电子邮件、名称、密码、所访问的课程等可能已被泄露。该企业表示,因为他们使用了第三方平台来处理付款(例如PayPal和2Checkout),因此没有任何财务信息泄露,而目前也已重置所有用户的密码。但是在twitter的评论中,部分用户表示其帐户密码未重置。


原文链接:

https://www.bleepingcomputer.com/news/security/online-education-site-educba-discloses-data-breach-after-hack/


4.印度2910万求职者信息泄露,目前尚在调查泄露来源



研究人员在暗网上发现了一起敏感数据泄露事件,黑客泄露了约2910万印度籍求职者的个人详细信息。此次泄露的信息包括电子邮件、电话、家庭住址、资格、工作经历等。Cyble在调查这个问题时,还发现有黑客在一个暗网上发布了2000多张印度身份证(Aadhaar卡),这起泄露事件似乎发生在2019年。黑客可以利用这两次泄漏的数据进行各种恶意活动,包括身份盗窃、诈骗和企业间谍活动。目前,专家们仍在调查泄漏的来源,并猜测可能源自简历汇总服务企业。


原文链接:

https://securityaffairs.co/wordpress/103694/data-breach/indian-jobseekers-data-leak.html


5.黑客正在暗网出售350万名Zoomcar客户数据



研究人员发现,自上周四,黑客在暗网上出售约350万Zoomcar用户的个人数据,包括名称、电子邮件ID、密码、手机号码和IP地址。黑客还表示,将以300美金的价格出售更多的900万名Zoomcar用户的数据。据黑客称,此次事件发生在2018年7月,正因为黑客是在一年后出售数据而不是窃取后马上出售,使得执法人员更难跟踪其IP地址和漏洞来源。Zoomcar CEO Greg Moran表示,企业使用强大的加密算法加密所有数据,Zoomcar用户密码数据泄露的断言显然是不正确的。


原文链接:

https://tech.economictimes.indiatimes.com/news/internet/data-of-3-5-million-zoomcar-customers-up-for-sale/75896086


6.黑客冒充英国最高法院钓鱼攻击,窃取Office 365凭据



近日,电子邮件保护企业Armorblox发布了一份报告,称有黑客冒充英国最高法院发送钓鱼电子邮件。此次攻击中,攻击者仅将邮件发送给特定用户而不是批量发送,以此躲避Exchange Online Protection(EOP)筛选器的过滤。并且,该邮件中还包含0day的链接,通过一系列的重定向,最后链接到伪造的微软 Office 365页面,以窃取用户凭据。该钓鱼活动存在部分异常,例如,黑客使用的域名为非合法域‘docketsender[.]com’,但用户如果不仔细观察很难发现。


原文链接:

https://www.hackread.com/fake-supreme-court-subpoena-phishing-scam-office-365-credentials/