SpeedX泄露数亿笔纪录：客户住址与司机驾照曝光
颁布功夫 2026-05-295月27日，近期，钻研团队发现美国最后一公里包裹递送公司SpeedX在网上泄露了数亿笔纪录，露出了多多美国居民的幼我数据。针对此事，SpeedX回应称，对Azure Blob配置的审查仅发现“容器元数据响应有限”，但并未发现任何恶意活动。公司强调，调查没有发现未经授权接见敏感客户数据的证据，也没有发现任何安全缝隙，以为这只是一个存储配置问题而非数据泄露，并宣称接见对象仍需相识具体蹊径，不蹬宗不受限度的公开接见。然而，钻研人员辩驳称，任何人只需知路存储桶名称就能接见超过8.4亿个文件，无需任何具体蹊径信息。泄露的Azure存储桶蕴含11个前缀，文件数量从几个到近6.2亿个不等。最大的数据库蕴含6.18亿个文件，重要是包裹和运输标签的照片，揭示了收件人信息。另一个超过2.2亿笔纪录的前缀蕴含货运标签PDF文件，纪录了包裹的运输阶段及最终主张地数据，其中部门标签属于加拿大快递公司Raven Force Couriers，可能是SpeedX的合作同伴。还有380万笔纪录披露了交付批次汇报，泄露了跟踪号码、处置设施地址及收件人幼我信息。最令人忧郁的是，钻研人员还发现了近10.5万笔纪录，蕴含司机驾照照片和SpeedX利用凭证截图，很可能是司机提交的资格确认信息。
https://cybernews.com/security/speedx-delivery-data-leak-840-million-exposed/
2. 俄黑客组织“GreyVibe”借AI发展网络间谍活动
5月28日，一个名为GreyVibe的疑似俄罗斯威胁组织自2025年8月以来，利用人为智能天生的钓饵和一套定造恶意软件工具，针对军事、当局、民间及贸易实体发展了持续的网络间谍活动。只管该组织的行为与俄罗斯国度利益高度符合，但网络安全公司WithSecure暗示，尚无法确定性地将其归类为国度行为。GreyVibe设计了多种攻击链，其中蕴含PhantomMail：通过假装成乌克兰当局、应急、电信和能源机构的垂钓邮件，利用Google Drive和4sync链接传布恶意压缩包；PhantomClick：伪造Zoom和LAPAS网站的CAPTCHA页面，诱导用户执行自习染号令；PrincessClub：设立虚伪交友网站，传布FallSpy安卓间谍软件和PhantomRelay、LegionRelay等Windows恶意软件；DroneLink：以FPV无人机为主题的虚伪慈悲网站，与PrincessClub共享基础设施；Nebo：伪造俄罗斯军事通讯登录页面，贪图糊弄乌克兰军方人员。这些钓饵内容真切，得益于对ChatGPT、Ideogram AI和Google Gemini等AI工具的宽泛利用。
https://www.bleepingcomputer.com/news/security/greyvibe-hackers-use-chatgpt-gemini-to-power-cyberattacks/
3. 美军事地位数据泄露，五角大楼被批应对缓慢
5月28日，一份最新披露的美国国防部文件显示，表国敌手已成功利用从贸易数据经纪人处采办的地理位相信息，对驻中东美武士员进行定位和监督。只管这一问题至少从2016年起就已向军方辅导层汇报，但五角大楼被指行动缓慢，未能有效�；の涫恳杂胄卸踩�。参议员罗恩·怀登与多议员帕特·哈里根等十余名国会议员近日联名致信国防部首席信息官，要求各兵种垂危调整智能手机安全战术。信中指出，美国中央司令部已收到多起威胁汇报，确认敌方利用贸易地位数据针对战区内美武士员。这些数据的起源与通常贸易买家一样，即智能手机告白资料。更令人忧郁的是，军方并未不容作战区域内的武士使用幼我设备，也没有政策要求他们在活跃战区关关地理地位职能。国防部虽颁布了有关风险指南，但认可指南并不总能齐全禁用定位服务。即就是国防部配发的智能手机，也未禁用告白配置文件。国防部暗示在迁徙新的移动设备治理解决规划，以便齐全禁用定位服务，但打算于5月初实现的迁徙是否落实仍不爽朗。与此同时，陆军却在推动更宽泛的自带设备政策，使问题越发复杂。
https://www.theregister.com/security/2026/05/28/troops-phones-leaked-location-data-to-foreign-adversaries/5248108
4. 嘉年华邮轮遭网络攻击，近600万客户数据泄露
5月28日，嘉年华邮轮公司近日传递了一路大规模数据泄露事务，受影响总人数高达5,995,277人。据该公司向缅因州总检察长办公室提交的通知，攻击者于2026年4月14日利用社交工程伎俩成功入侵一名员工账户，随后接见内部系统并窃取了蕴含客户数据的文件。公司IT安全团队当天发现异�；疃笱杆僮柚谷肭�，并立即与第三方安全专家合作发展调查。调查证实，攻击者获取的幼我信息可能蕴含姓名、地址、电子邮件地址、电话号码、诞生日期，以及护照和驾驶牌照号码等当局身份证件信息。嘉年华于2026年5月27日起头通知受影响幼我，并为切合前提的美国客户提供为期两年的免费TransUnion信誉监控服务。公司暗示，事务产生后已改进安全和监控系统，并将持续加强数据�；ご胧�，同时督促客户亲昵关注银行账户和信誉汇报，如发现可疑活动应立即报警。今年4月，驰名网络犯罪组织ShinyHunters宣称对这次攻击及870万笔纪录被盗掌管。
https://securityaffairs.com/192833/uncategorized/carnival-data-breach-exposes-personal-data-of-nearly-6-million-customers.html
5. 2026年世界杯邻近，FBI忠告虚伪票务网站激增
5月28日，美国联国调查局近日颁布忠告称，在2026年世界杯开赛前，大量虚伪网站假意国际足联，以销售假门票和招待套餐为名，窃取幼我及财政信息。本届世界杯将于6月11日至7月19日在美国、加拿大和墨西哥进行，网络犯罪分子已为此筹备了数百个垂钓网站。这些虚伪域名仿照官方fifa.com，通过轻微拼写更改如fiffa[.]com，或使用.org、.xyz、.live、.sale等代替顶级域名，以及虚伪招聘门户如“jobs-fifa[.]com”等，诱骗用户中计。FBI指出，很多诓骗网站会网络接见者的姓名、地址、电子邮件、电话号码及银行支付信息，这些数据可用于身份偷窃和金融诳骗。网络安全公司Bitdefender发现，自2月份起，针对英国、葡萄牙、美国、加拿大、墨西哥等多国用户的诓骗活动激增，涉及假冒商品、球衣、流媒体服务等。为援手球迷躲避风险，FBI建议：手动在浏览器输入fifa.com，预防使用付费搜索告白或启用告白拦截器；确认网址以.com结尾；使用书签接见官方页面；不点击私信中的可疑链接；未经验证的网站绝不输入敏感数据。
https://www.bleepingcomputer.com/news/security/fbi-warns-of-fake-fifa-websites-running-world-cup-fraud-schemes/
6. 黑客利用FortiClient缝隙传布EKZ窃密法式
5月28日，黑客在利用FortiClient企业治理服务器中的一个身份验证绕过缝隙（CVE-2026-35616），传布一种名为EKZ的未公开痛处窃取法式。攻击者将恶意软件假装成Fortinet端点更新，并通过FortiClient治理的VPN剧本工作流执行。该缝隙属于不当接见节造缺点，允许未经身份验证的远程攻击者通过精心机关的要求执行肆意代码或号令。Fortinet于4月初确认缝隙存在，并颁布了7.4.5和7.4.6版本的热建复法式。本月初，Arctic Wolf公司发现攻击者利用该缝隙传布EKZ恶意软件。入侵始于滥用端点API，在未经身份验证的情况下执行治理操作。攻击者随后批改EMS配置和VPN战术以执行恶意剧本。终端与FortiGate防火墙成立IPsec隧路后，合法的fortitray.exe过程通过号令提醒符启动恶意批处置剧本，执行base64编码的PowerShell载荷，下载并运行假装成Fortinet补丁的恶意软件，再通过HTTP将数据泄露至攻击者节造的VPS。EKZ信息窃取法式职能典型，同使仉对Chromium和Firefox浏览器，将存储的数据提取到文本文件，绕过加密密码�；�，指标蕴含痛处、信誉卡信息、地址、电话号码和cookie，攻击者可借此接见受多成分认证�；さ恼嘶�。
https://www.bleepingcomputer.com/news/security/hackers-exploit-forticlient-ems-flaw-to-push-infostealer-malware/
京公网安备11010802024551号