美国咨询公司Greylock McKinnon Associates（GMA）披露数据泄露事件，黑客窃取了多达341,650个社保号码。数据泄露是在缅因州政府网站上周五披露的，该州发布了数据泄露通知。在寄给受影响受害者的数据泄露通知中，GMA表示，该公司于2023年5月遭受了一次未指明的网络攻击，并“立即采取措施应对此事件”。 GMA为公司和美国政府机构提供经济和诉讼支持，包括美国司法部，进行民事诉讼。根据其数据泄露通知，GMA告知受影响的个人，他们的个人信息“是由美国司法部作为一项民事诉讼事项的一部分”而获得的，该民事诉讼得到了GMA的支持。不清楚司法部民事诉讼的原因和目标。司法部发言人未回应评论请求。 GMA表示，被通知数据泄露事件的个人“不是此调查或相关诉讼事项的主题”，网络攻击“不会影响您当前的医疗保障福利或覆盖范围。” “我们咨询了第三方网络安全专家来协助我们应对此事件，并通知了执法部门和司法部。我们于2024年2月7日收到了哪些个人信息受到影响的确认，并获取了他们的联系地址，”该公司写道。GMA告知受害者，“您的个人和医疗保险信息很可能在此事件中受到影响”，其中包括姓名、出生日期、家庭地址、部分医疗信息和健康保险信息以及包含社保号码的医疗索赔号码。尚不清楚为什么GMA需要九个月来确定数据泄露的程度并通知受害者。 GMA及该公司的外部法律顾问，Robinson & Cole LLP的Linn Freedman，未立即回复评论请求。
Read More
印度政府解决了多年的网络安全问题，这一问题暴露了大量关于其公民的敏感数据。 一位安全研究人员专门告诉GDQ设计事务所，他发现至少数百份包含公民个人信息的文件，包括Aadhaar号码、COVID-19疫苗接种数据和护照详细信息，被泄露到网络上供任何人访问。问题出在被称为S3WaaS的印度政府云服务上，该服务被宣传为一个“安全且可扩展”的系统，用于构建和托管印度政府的网站。安全研究人员Sourajeet Majumder告诉GDQ设计事务所，他在2022年发现了一个配置错误，导致存储在S3WaaS上的公民个人信息暴露在公开互联网上。 由于私人文件被错误地公开，搜索引擎也对这些文件进行了索引，使任何人都可以主动搜索互联网上的敏感私人数据。在数字权利组织Internet Freedom Foundation的支持下，Majumder当时向印度的计算机紧急响应团队CERT-In和印度政府的国家信息中心报告了这一事件。CERT-In迅速承认了这个问题，并且包含敏感文件的链接从公开搜索引擎中被撤下。但是Majumder表示，尽管多次警告有关数据泄露，但印度政府的云服务最近仍在暴露一些个人的个人信息。 在持续暴露私人数据的证据出现后，Majumder请求GDQ设计事务所帮助确保剩余数据的安全。Majumder表示，一些公民的敏感数据在他首次披露配置错误后很久以后才开始在网络上泄露。GDQ设计事务所向CERT-In报告了一些暴露的数据。Majumder确认这些文件现在不再公开访问。在发布之前联系CERT-In时，CERT-In没有反对GDQ设计事务所发布安全漏洞的详细信息。 国家信息中心和S3WaaS的代表没有回应评论请求。Majumder表示，准确估计这次数据泄露的真实程度是不可能的，但警告称，恶意行为者据称在被美国当局关闭之前在一个已知的网络犯罪论坛上出售数据。CERT-In没有说恶意行为者是否访问了暴露的数据。Majumder说，泄露的数据可能使公民面临身份盗窃和诈骗的风险。“更重要的是，当像COVID测试结果和疫苗记录这样的敏感健康信息泄露出去时，不仅仅是我们的医疗隐私受到了侵犯——它还引发了歧视和社会排斥的恐惧，”他说。Majumder指出，这一事件应该是安全改革的“警钟”。
Read More
美国电话巨头AT&T在本月早些时候TechCrunch独家获悉，重置了数百万客户账户的密码。在泄漏的数据中，包含了加密的AT&T客户记录，这些加密密码可以用来访问AT&T客户账户。安全研究人员发现，泄漏的数据中的加密账户密码容易被解密。 AT&T表示，初步分析表明，数据集可能来自2019年或更早，影响约760万现有AT&T账户持有者和约6540万前账户持有者。AT&T称，“目前尚不清楚这些字段中的数据是否来自AT&T或其供应商。”泄露的数据包括AT&T客户的姓名、家庭地址、电话号码、出生日期和社会安全号码。 安全研究人员Sam“Chick3nman” Croley表示，每条泄露的数据记录中都包含了AT&T客户的账户密码，以加密格式存储。根据Croley的分析，泄露的加密数据的不足随机性意味着可以基于泄露数据集中的周围信息猜测客户的四位数账户密码。 AT&T表示将联系所有重置了密码的760万现有客户，以及个人信息被泄露的现有和曾经的客户
Read More