Aggregator

公安部计算机信息系统安全产品质量监督检验中心检测发现35款违法违规收集使用个人信息的移动应用

嘶吼
8 hours 59 minutes ago

依据《网络安全法》《个人信息保护法》等法律法规，按照《中央网信办、工业和信息化部、公安部、市场监管总局关于开展2025年个人信息保护系列专项行动的公告》要求，经公安部计算机信息系统安全产品质量监督检验中心检测，在应用宝中35款移动应用存在违法违规收集使用个人信息情况，现通报如下。

1、未以结构化清单的方式逐一列出收集、使用个人信息规则。涉及 12 款移动应用如下：

《智慧 AI 聊天》（版本 1.4.0）、《虚拟恋爱 AI》（版本 1.1.3）、《轻抖》（版本 V3.2.400）、《剪辑软件》（版本 1.1.2）、《视频剪辑》（版本 26.9.82）、《爱剪》（版本 V1.0.0）、《视频编辑剪辑 cut》（版本 1.0.2）、《妙剪》（版本 1.55）、《智能出行》（版本 1.0.2）、《创游世界》（版本 1.56.0）、《AI音乐学园》（版本 7.1.1）、《台铃电动》（版本 3.3.5）。

2、实际收集的个人信息超出用户授权范围。涉及 18 款移动应用如下：

《智谱清言》（版本 2.9.6）、《Wink》（版本 2.7.0）、《剪印》（版本 24.03.26）、《抖影视频剪辑》（版本 1.2.8）、《Pr 视频剪辑》（版本 2.7.5）、《爱剪辑》（版本 80.21.0）、《免费剪辑视频》（版本 v1.1.8）、《剪辑软件》（版本 1.1.2）、《AI 视频成片》（版本 3.2.0）、《视频剪辑》（版本 26.9.82）、《妙剪》（版本 1.55）、《自律锁机》（版本 24.08.10）、《画世界》（版本 2.9.8）、《QCY》（版本 4.0.8）、《智能出行》（版本 1.0.2）、《创游世界》（版本 1.56.0）、《AVmini》（版本 4.2.0.12）、《小白学习打印》（版本 4.17.4）。

3、个人信息保护政策中描述收集的个人信息与业务功能无直接关联。涉及 2 款移动应用如下：

《AI 智能秘书》（版本 1.0.25）、《抖影视频剪辑》（版本 1.2.8）。

4、在配置文件中声明与移动应用的所有业务功能均没有直接关联的权限。涉及 8 款移动应用如下：

《AI 智能秘书》（版本 1.0.25）、《智慧 AI 聊天》（版本 1.4.0）、《AI 对话专家》（版本 1.0.17）、《QCY》（版本 4.0.8）、《来音吉他》（版本 3.5.8）、《台铃电动》（版本 3.3.5）、《Wow》（版本 1.16.5）、《猫箱》（版本 1.57.0）。

5、申请的可收集个人信息的权限与业务功能没有直接关联。涉及 1 款移动应用如下：

《AVmini》（版本 4.2.0.12）。

6、提前要求用户授权当前未使用的特定功能所需的权限。涉及 2 款移动应用如下：

《AI 剪辑》（版本 20.5）、《视频剪辑王》（版本 1.2.3）。

7、提前要求用户填写当前未使用的特定功能需要的个人信息。涉及 2 款移动应用如下：

《小白学习打印》（版本 4.17.4）、《台铃电动》（版本 3.3.5）。

8、实际收集的个人信息与业务功能没有直接关联。涉及 2 款移动应用如下：

《Kimi》（版本 2.0.8）、《Wink》（版本 2.7.0）。

9、实际收集个人信息的频率与业务功能没有直接关联。涉及 10 款移动应用如下：

《ChatGreat》（版本 1.1.3）、《虚拟恋爱 AI》（版本 1.1.3）、《轻抖》（版本 V3.2.400）、《免费剪辑视频》（版本 v1.1.8）、《剪辑软件》（版本 1.1.2）、《妙剪》（版本 1.55）、《创游世界》（版本 1.56.0）、《AVmini》（版本 4.2.0.12）、《台铃电动》（版本 3.3.5）、《Wow》（版本 1.16.5）。

10、未向用户提供更正或补充其个人信息的具体途径。涉及 1 款移动应用如下：

《ChatGreat》（版本 1.1.3）。

11、广告存在误导、欺骗用户行为。涉及 5 款移动应用如下：

《AI Genie》（版本 2.9.0）、《虚拟恋爱 AI》（版本 1.1.3）、《免费剪辑视频》（版本 v1.1.8）、《视频剪辑王》（版本 1.2.3）、《视频编辑剪辑 cut》（版本 1.0.2）。

（注：文中所列移动应用检测时间为2025年4月16日至2025年5月15日，来源均为应用宝）

文章来源自：国家网络安全通报中心

胡金鱼

俄罗斯国家服务系统突发瘫痪！境外网络攻击直击关键设施

HackerNews
9 hours 21 minutes ago
HackerNews 编译，转载请注明出处： 俄罗斯多个关键政府服务系统于本周二遭遇大规模分布式拒绝服务（DDoS）攻击，导致服务中断。据监测平台Downdetector数据显示，联邦税务局（FNS）、数字密钥管理系统（Goskey）及电子文档平台（Saby）等均受影响。Saby与FNS已确认攻击源自境外，正全力修复系统。 企业用户报告称，酒类销售管控平台与商品防伪追踪系统无法访问。此次事件距离上周大规模服务中断仅数日——彼时俄罗斯银行应用、社交平台VKontakte、即时通讯工具、Yandex服务及移动网络集体瘫痪。圣彼得堡电信运营商Severen-Telecom曾报告服务器遭DDoS攻击，但俄通信监管局（Roskomnadzor）未透露故障原因。 上周，某私立医院系统遭持续多日的网络攻击，导致患者病历管理软件瘫痪。亲乌克兰黑客组织4B1D宣称对此负责，但院方未披露细节。本周二，莫斯科卫生部门通报医疗记录系统“临时故障”，但拒绝归因于网络攻击。 俄乌网络战中，攻击常与重大政治事件同步。此次中断恰逢美国前总统特朗普与俄总统普京进行两小时通话，讨论乌克兰停火协议。尽管攻击方尚未认领责任，但历史数据显示，乌克兰IT Army等组织曾对类似目标实施攻击。网络安全专家指出，攻击是否刻意选择政治敏感时点仍有待调查。       消息来源： therecord； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

超过 50% 的顶级石油和天然气公司在过去 30 天内遭受了数据泄露

HackerNews
9 hours 40 minutes ago
HackerNews 编译，转载请注明出处： 全球顶尖石油天然气企业的网络安全评估结果令人担忧。网络安全机构Cybernews最新报告显示，市值排名前400的能源巨头中仅10%通过基础安全测评，69%的企业得分处于D或F级高危区间。研究覆盖391家企业，其中超半数在过去30天内至少遭遇一次数据泄露，27.1%上周刚经历安全事件。 测评发现，91%企业存在SSL/TLS证书配置缺陷，导致数据传输面临窃听与篡改风险；74%企业的核心业务系统托管环境存在配置漏洞；48%未部署反钓鱼与反欺骗的邮件防护措施。软件补丁管理同样堪忧——32%企业存在常规补丁漏洞，20%放任可被直接利用的关键漏洞。Cybernews安全研究主管Vincentas Baubonis指出，单次勒索攻击即可引发生产停滞、股价暴跌与投资者信任危机，全行业仅有10%企业建立有效数字防线。 数据泄露已成常态，94%的受评企业曾发生泄密事件，80%企业员工凭证遭暗网贩卖，38%域名存在邮件伪造漏洞。历史数据显示，北美企业数据泄露发生率最高，但亚洲企业在多项风险指标中表现最差：68%重复使用已泄露密码（北美31%，欧洲39%），59%域名易受邮件伪造攻击（北美35%，欧洲27%），30%存在高风险漏洞，27%存在可被直接利用的致命漏洞。欧洲企业在各维度相对均衡，云环境风险与系统配置薄弱项少于其他地区。 该研究通过物联网搜索引擎、IP/域名信誉库及定制化扫描，基于公开信息评估企业网络安全状态。评估维度涵盖软件更新、网络防护、邮件安全、系统声誉、SSL配置、系统托管与泄密历史七大领域，旨在为企业提供透明化风险画像，助力构建抗攻击的数字基础设施。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

JVN: キヤノン製プロダクションプリンターおよびオフィス/スモールオフィス向け複合機、レーザービームプリンターにおけるpassback攻撃が可能になる脆弱性

統合版 JPCERT/CC
9 hours 46 minutes ago
キヤノン株式会社が提供するプロダクションプリンターおよびオフィス/スモールオフィス向け複合機、レーザービームプリンターには、passback攻撃が可能になる脆弱性が存在します。

英国一生鲜物流企业遭勒索软件攻击

HackerNews
9 hours 48 minutes ago
HackerNews 编译，转载请注明出处： 英国生鲜物流企业Peter Green Chilled近期遭遇勒索软件攻击，部分系统遭加密。该公司为乐购（Tesco）、奥乐齐（Aldi）等零售巨头提供冷链运输服务，此次事件距离玛莎百货（Marks & Spencer）重大网络攻击尚不足一月。BBC报道称，攻击者于周三加密企业数据并扰乱运营，公司内部邮件证实正在处理勒索软件事件。 网络安全研究员Aras Nazarovas指出，此类攻击可使物流企业陷入服务瘫痪，导致合作超市特定商品短期缺货。ISACA全球战略官Chris Dimitriadis强调，网络罪犯正将目标转向供应链环节——配送中断、库存损耗与财务损失将引发连锁反应。 近期英国零售业频现安全危机，除玛莎百货外，哈罗德百货（Harrods）、合作社集团（Co-op）相继遭入侵。据路透社数据，玛莎百货因攻击已损失超6000万英镑（约8000万美元）利润，市值蒸发逾10亿英镑。调查显示，攻击者通过第三方服务商塔塔咨询（TCS）两名员工的凭证侵入系统，黑客组织Scattered Spider被怀疑参与作案。该团伙以钓鱼技术著称，2023年曾伪装IT支持人员攻陷拉斯维加斯美高梅度假村与凯撒娱乐集团。 尽管Scattered Spider作案手法老练，执法机构已展开全球缉捕。2023年，涉嫌参与美高梅攻击的22岁英国公民Tyler Robert Buchanan在西班牙落网。同年11月，美国起诉包括Ahmed Hossam Eldin Elbadawy在内的五名该组织成员。安全专家警示，供应链环节的数字化依赖度攀升，物流企业需强化第三方供应商的凭证管理及零信任架构部署。       消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

生成式 AI 安全风险加剧，驱动企业加大安全投入

HackerNews
9 hours 59 minutes ago
HackerNews 编译，转载请注明出处： Thales《2025年数据威胁报告》显示，面对生成式AI（GenAI）带来的安全风险，73%的企业正在通过新增预算或重新分配资源的方式采购AI专用安全工具。其中，超三分之二的企业选择云服务商提供的解决方案，60%依赖传统安全厂商，约半数尝试新兴初创公司的产品。AI安全已成为企业第二大安全投入重点，仅次于云安全。 近70%的IT与安全从业者认为，快速迭代的生成式AI生态系统（涵盖新型基础设施、SaaS服务与自主代理）是采用该技术的首要安全顾虑。此外，64%担忧数据完整性，57%质疑结果可信度。尽管存在风险，仍有三分之一企业处于GenAI技术的”集成”或”转型”阶段。 报告指出，45%的受访企业曾遭遇数据泄露，较2024年的49%略有下降。自2021年（56%）以来，受泄密影响的企业比例呈逐步下降趋势。过去12个月内发生泄露的企业占比为14%，与上年持平。值得注意的是，未通过合规审计的企业中有78%曾遭遇数据泄露，而通过审计的企业该比例仅为21%。恶意软件、钓鱼攻击与勒索软件仍是年度三大主要攻击类型。 近60%的企业采用生物识别技术，47%部署无密码认证（如通行密钥），这类技术能有效防范钓鱼攻击与凭证填充等账户劫持行为。研究覆盖全球20个国家、15个行业的3000余名IT与安全专家。 451 Research首席分析师Eric Hanselman评论称：“生成式AI的快速演进迫使企业加速布局，但往往以牺牲谨慎为代价。许多企业在尚未完全理解应用架构的情况下仓促部署，加之集成GenAI能力的SaaS工具激增，多重因素叠加放大了复杂性与风险。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

社交媒体欺诈广告泛滥，近半数消费者成精准目标

HackerNews
10 hours 7 minutes ago
HackerNews 编译，转载请注明出处： 网络安全公司Netacea最新研究显示，大西洋两岸近半数消费者曾遭遇社交媒体平台推送的零售欺诈广告，这些广告以“退款技巧”为幌子诱导用户参与诈骗。该公司对英美2000余名消费者展开调查，发现欺诈行为正通过主流社交媒体的高曝光广告逐渐“去罪化”。 地下犯罪产业阳光化 报告指出，以往仅存于暗网“欺诈即服务”论坛的犯罪指南，如今公然现身TikTok等平台。Netacea威胁服务副总裁Matthew Gracey-McMinn分析称：“犯罪组织利用社交媒体近乎无限的‘干净账户’资源（即未被风控系统标记的可信账户），通过诱导千禧一代‘轻松赚钱’，实际上将其培养成实施恶意活动的‘数字骡子’。” 触目惊心的数据 45%受访者承认收到过零售欺诈指南广告，58%接触过伪装成网红内容的退款骗局 16%认为零售欺诈属于“无受害者犯罪”，58%认为零售商应自行承担欺诈损失且不会影响经营 23%曾产生欺诈冲动，15%表示在特定条件下会尝试更严重的欺诈行为，34%认为单笔100英镑以内的欺诈可以接受 社交裂变式传播 18%受访者表示看到过网红推广欺诈手段，而通过亲友（37%）、同事（21%）、同学（9%）接触相关信息的比例高达82%。常见欺诈手法包括：谎称未收到货物骗取退款/补发、调包退货、盗用支付信息购物、使用非法获取的礼品卡或账户余额消费、雇佣专业“退单服务商”等。 内部腐败风险攀升 18%受访者承认认识从事内部欺诈的人员（其中12%在零售企业工作，6%在物流服务商任职）。这与Ravelin上周发布的报告相呼应——零售商普遍认为普通消费者带来的威胁已不亚于职业欺诈团伙。 Netacea警告称，欺诈行为的文化接受度正在发生危险转变：“我们每天监控暗网市场的职业罪犯，但如今零售欺诈技术已从阴影走向公开——它们在朋友间传播，在网络平台大肆推广。令人震惊的是，相当部分公众不仅看得见这些行为，甚至认为其可以接受。”       消息来源： infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
hackernews

Account Takeover Scams Are Bypassing Fraud Defenses

DataBreachToday.com
10 hours 16 minutes ago
FIs Must Invest in AI-Fueled Behavioral Biometrics to Go Beyond Static Credentials
Scammers are increasingly turning to account takeover fraud, as financial institutions ramp up their defenses. Instead of luring victims into making authorized transactions, cybercriminals are bypassing them altogether, hijacking their digital identities and draining accounts from within.

Managed ad