安全资讯 第2页
聚合当前分类下的最新内容，按时间顺序查看第 2 页精选文章。
FTC 起诉 Genesis Tech：订阅陷阱已经从 App 变成支付网络
FTC 起诉 Genesis Tech，称其借塞浦路斯等地壳公司、多个商户账户和跨境资金流转，面向美国消费者运营疑似强诱导订阅应用。 涉案品牌包括 MadMuscles、Unimeal、PDF Guru、Nebula 等；诉状提到，2023 年初至 2025 年中，五家公司产品全球收入近 2.5 亿美元。 这案子的关键不在几个 App 被点名，而在订阅灰产已经公司化、跨境化、支付基础设施化，平台治理还习惯按单个 App 打地鼠。
Fortinet 设备遭大规模入侵：问题不在零日漏洞，而在密码没有换
两家安全公司称，疑似俄语网络犯罪团伙正在入侵全球暴露在互联网上的 Fortinet 防火墙和 VPN 设备，涉及大型企业、政府机构和多个国家。更关键的判断是：攻击并非依赖未知漏洞，而是复用已泄露或已知密码，暴露了企业边界设备的凭据治理短板。
ICE近千万美元采购ITIN数据服务：税号隐私被推向数据经纪商灰区
404 Media查阅的采购记录显示，ICE在6月5日签下一份996.8万美元合同，采购与ITIN税号相关的数据订阅和分析服务。争议点不在“欺诈调查”四个字，而在法院已阻止IRS向DHS/ICE共享类似税务信息后，ICE是否正借商业采购绕开前门限制。现在最该看的，是合同实际数据字段、真实数据源，以及HSI如何区分欺诈调查和移民执法。
FCC反骚扰电话提案，把手机匿名性推到台前
404 Media 本期播客讨论 FCC 拟要求电信公司在办理手机套餐时收集所有客户的政府身份证件号码，名义目标包括遏制 robocall，但代价可能是压缩预付费手机和 burner phone 的匿名空间。真正重要的不是骚扰电话治理本身，而是通信入口一旦实名化，执法、平台和数据系统会获得更稳定的身份锚点。
Secure Boot 旧证书 6 月 24 日到期：别急着怕开不了机，更该查启动防线有没有换钥
6 月 24 日，微软用于 Secure Boot 信任链的三项 2011 年签名证书将到期，新证书是 2023 年版本。多数未更新设备通常不会因此失效，但会少掉针对新 UEFI 启动威胁的完整保护。Windows 10/11 用户要确认 Secure Boot 与系统更新状态，启用 Secure Boot 的 Linux 用户更要盯发行版 shim 更新。
IIS 默认页不是漏洞，真正要查的是误配置链条
原文讨论的是授权漏洞赏金和安全测试里的 IIS 侦察，不是无授权攻击教程。IIS 默认欢迎页只能说明服务暴露，真正的风险常在虚拟主机绑定、配置文件泄露、8.3 短文件名和 ASP.NET 旧机制里。企业安全团队该把这类问题当成资产治理失败来处理，而不是只盯着某个单点漏洞。
苹果 Hide My Email 要换域名：功能没关，但匿名性可能变弱
苹果将在未来数周把 Hide My Email 生成的匿名邮箱从 @icloud.com 迁移到 @private.icloud.com，现有地址仍会继续转发。问题不在功能下线，而在匿名邮箱被域名直接标出来，网站和应用更容易识别、过滤或拒绝。对 iCloud+ 用户来说，重要账户别只押注匿名邮箱；对开发者和邮件服务商来说，过滤规则要跟着改。
GrapheneOS 完成 Android 17 移植：Pixel 用户别急着切 alpha
GrapheneOS 称已在 Android 17 正式发布当天完成移植，并将向公开仓库推送代码，首个 Android 17 官方版本计划次日进入公开测试/发布流程。对 Pixel 和 GrapheneOS 用户来说，真正的问题不是“能不能升”，而是“何时升、用什么通道升、能否承受回退清数据的代价”。
苹果把隐藏邮箱改成 @private.icloud.com，问题不只是后缀
苹果在 2026 年 6 月 15 日的开发者新闻中公告：Sign in with Apple 和 iCloud+ Hide My Email 生成的邮箱别名，将转向 @private.icloud.com 子域名。功能没有被取消，但别名从“混在 iCloud 邮箱里”变成了更容易被识别、筛选、封禁的标签。对重度用户来说，真正变化不是能不能转发邮件，而是隐私别名的伪装性被削弱了。
FIFA 经纪人平台注册账号被指可触达转播系统，问题不只是一个网页漏洞
安全研究员 BobDaHacker 称，她通过注册 FIFA 官方球员经纪人账号，利用后端 API 授权校验缺陷访问了多个内部系统。最敏感的部分是转播相关系统：研究员称它可能控制世界杯比赛电视画面和解说员屏幕内容。现在没有证据显示转播被真实篡改，但这件事已经足够说明，大型赛事的权限边界不能只靠前端入口和账号身份来守。
佛州起诉 TikTok：儿童安全法开始逼平台交作业
佛罗里达州起诉 TikTok，指控其违反 HB3：仍允许 13 岁用户使用平台，也没有落实 14、15 岁用户的父母同意要求。TikTok 否认消极配合，称已善意沟通，并通知佛州 14 岁以下用户账号将被暂停。真正的硬问题是：平台增长依赖低摩擦入口，儿童保护却要求高摩擦验证，这笔成本不能再全推给家长。
M365 Copilot SearchLeak 漏洞已修复：企业 AI 仍卡在提示注入边界
微软已在 2026 年 6 月补丁中修复 M365 Copilot 一个最高危漏洞，Varonis 随后披露概念验证攻击 SearchLeak。它可诱导 Copilot 从用户有权访问的邮件、会议、SharePoint、OneDrive 等内容中提取 2FA 验证码等敏感信息。目前没有证据显示已发生大规模真实攻击，但这件事提醒企业：LLM 很难稳定分清用户指令和第三方内容里的恶意指令。
印度为防 NEET 重考作弊下令临时封禁 Telegram，问题是治理尺度
印度国家考试署下令全国临时封禁 Telegram 至 6 月 22 日，并要求其关闭消息编辑功能至 6 月 30 日，理由是防范 6 月 21 日 NEET（UG）重考作弊。 官方指称作弊团伙利用 Telegram 售卖假试卷、传播误导信息、事后伪造泄题证据，但报道发布时 Telegram 在印度仍可访问，编辑功能也仍正常。 我更在意的是：考试安全当然要守，但用封禁整个平台来处理具体作弊链条，比例和效果都要打问号。
Claude Fable 5 出口管制争议：把“修代码”当越狱，可能伤到防御者
Claude Fable 5 因被认为可通过“fix this code”类提示产出安全测试脚本而受到出口管制限制，Kate Moussouris 批评这是把防御性修复流程误判为越狱能力。真正关键不在于某个模型有多强，而在于政策是否把漏洞修复、补丁解释和测试验证一并视为高危能力；若边界划错，美国网络防御会先受损。
英国拟禁16岁以下用社交媒体：护幼之外，是一场年龄验证大考
英国计划从2027年春季起，禁止16岁以下儿童使用 TikTok、Instagram、YouTube、Snapchat、Facebook、X 等主流社交平台，WhatsApp、Signal 这类消息服务暂不在内。真正的难点不是口号，而是年龄验证：平台责任、儿童安全、隐私采集和数字身份基础设施会被重新分账。家长要看孩子会不会被赶去更危险的角落，隐私用户要盯住验证方案是否变成全民身份门槛。
LinkedIn 招聘邀约里的 npm 后门：面试流程正在被当成供应链入口
一名开发者收到 LinkedIn 工作邀约，对方让他检查 GitHub 项目的“deprecated Node modules issue”，真实目标更像是诱导他运行 npm install。仓库里的恶意代码藏在 app/test/index.js，并通过 npm prepare 脚本在安装后自动触发。最该警惕的不是陌生仓库本身，而是招聘身份、技术任务和安装脚本连在一起后的攻击链。
朱雀二号E上面级解体：低轨碎片不大，善后账不小
蓝箭航天朱雀二号E上面级在6月9日入轨后不久解体，LeoLabs专家估计可能产生100至150片碎片；美国太空军已确认事件，称目前对载人航天无威胁，仍在分析。碎片轨道约335×424公里、倾角54.5度，高度低，很多碎片预计数月内再入，但它经过ISS附近高度，也会增加低轨Starlink等卫星的交会评估压力。一次事故不算大祸，真正刺眼的是：发射能力上去了，上面级处置纪律还没完全跟上。
Chrome 151 关掉 MV2 后门：旧版 uBlock Origin 用户该换路了
Chrome 150/151 预计在 6 月底和 7 月陆续移除 Manifest V2 最后残留支持，Chrome 151 之后旧版 uBlock Origin 这类 MV2 广告拦截器将无法继续工作。 MV3 广告拦截器仍可运行，比如 uBlock Origin Lite，但它不是原版 uBlock Origin 的等价替代。 Google 的技术债和安全理由站得住；更刺眼的是，这次清理刚好把广告拦截能力收回到 Chrome 能控制的边界里。
英国拟禁16岁以下儿童用主要社媒，真正难题不是封号而是验龄
英国首相Keir Starmer于6月15日宣布，拟禁止16岁以下儿童使用主要社交媒体，最快可能在2027年春季落地，WhatsApp和Signal等消息服务不在范围内。 澳大利亚已在2025年底率先实施16岁以下社媒禁令，英国加入后，儿童社媒禁令正从单点试验变成多国政策选项。 我更在意的是执行问题：年龄验证会不会过度收集隐私，平台能不能真正挡住未成年人，以及禁令是否只是把孩子推向更隐蔽的角落。
Roblox 自拍验龄：13 岁勾选框退场，儿童平台开始重写入口
Roblox 正在用视频自拍和面部年龄估算替代“勾选已满 13 岁”，并按年龄段限制聊天和部分游戏访问。NBC 的演示里，孩子贴假胡子没能绕过系统；Roblox 高管称年龄估算通常能接近真实年龄 1.4 岁以内。真正的变化不是假胡子失效，而是儿童互联网开始把安全治理压到身份入口上。
英国拟禁16岁以下儿童用主要社交平台，难点不在划线在执行
英国首相斯塔默宣布，政府计划禁止16岁以下儿童使用Snapchat、TikTok、YouTube、Instagram、Facebook和X，最快明年春季实施。WhatsApp、Signal等即时通讯服务不在禁令范围内，AI“恋爱伴侣”聊天机器人则需限制为18岁以上用户使用。我的判断是：禁令能减少一部分家庭拉扯，但真正效果取决于年龄验证、平台责任和孩子是否会迁移到更难管的角落。