FreeBuf早报 | 腾讯回应文件传输助手隐私问题；Nexera DeFi 协议遭黑客攻击
内容提要
美国SAFECOM发布《采用公共安全云计算的注意事项》指南，强调云服务必须符合安全性、验证以及弹性标准。Entra ID企业身份验证工具存在模糊问题，攻击者可以成为全局管理员，对云环境中的服务进行任意操作。《网络安全标准实践指南—互联网平台停服数据处理安全要求（征求意见稿）》公开征求意见，旨在规范互联网平台停服数据处理活动，保障数据安全。英国IT供应商因勒索软件攻击面临770万美元罚款，影响了数百个公共和私营实体。成立两年的勒索软件组织BlackSuit已勒索超5亿美元赎金，最大一笔赎金要求达到6000万美元。腾讯回应文件传输助手隐私问题，表示服务器不会保存微信聊天记录，用户通讯隐私得到保护。Nexera DeFi协议遭黑客攻击，被盗180万美元加密。新型CMoon USB蠕虫针对俄罗斯人的数据发起攻击，可执行多种功能。太阳能电网漏洞可能导致全球停电，攻击者可控制逆变器设置。微软AI助手Copilot存在安全隐患，可节省工作时间。Roundcube Webmail漏洞允许黑客窃取电子邮件和密码。警惕虚假的Angry IP Scanner广告，SharpRhino木马潜入企业网络。
延伸解读
云安全与身份验证风险
美国SAFECOM发布的指南强调云服务需符合安全性、验证和弹性标准，为企业采用公共安全云计算提供了参考。同时，Entra ID的模糊问题允许特权用户成为全局管理员，攻击者可对云环境中连接的任何服务进行任意操作，包括访问敏感数据和植入恶意软件。这提醒组织在采用云服务时，需严格评估身份验证工具的安全性，并实施最小权限原则，以降低特权滥用的风险。
勒索软件威胁持续升级
英国IT供应商因2022年勒索软件攻击面临770万美元罚款，影响数百个公共和私营实体，包括NHS 111等关键服务。此外，成立仅两年的BlackSuit勒索软件组织已勒索超5亿美元赎金，最大单笔要求达6000万美元。这些事件表明勒索软件攻击不仅造成直接经济损失，还可能导致严重的运营中断和监管处罚。组织应加强备份、员工培训和事件响应计划，以应对日益猖獗的勒索威胁。
DeFi与物联网安全漏洞
Nexera DeFi协议因智能合约漏洞被黑客窃取180万美元加密货币，攻击者控制了代理合同并执行“撤回管理”功能。同时，太阳能电网漏洞可能被利用控制逆变器设置，导致全球停电。这些案例揭示了DeFi和物联网领域的安全挑战：智能合约代码需严格审计，关键基础设施的互联性可能放大攻击影响。开发者和运营者应实施深度防御策略，定期进行安全评估和漏洞修复。
数据泄露成本与隐私保护
IBM报告显示，全球数据泄露平均成本达488万美元，增幅高达10%，组织对网络安全团队的要求进一步提高。腾讯回应文件传输助手隐私问题，承诺服务器不保存微信聊天记录，并建议用户养成良好的手机使用习惯。这反映了数据泄露的经济影响和用户隐私保护的重要性。企业需平衡数据利用与隐私保护，投资于安全技术和合规措施，以降低泄露风险和潜在损失。
Q&A
腾讯如何回应文件传输助手的隐私问题？
腾讯表示服务器不会保存微信聊天记录，用户通讯隐私得到保护。
Nexera DeFi协议遭遇了什么样的攻击？
Nexera DeFi协议遭黑客攻击，被盗180万美元加密货币。
美国SAFECOM发布的指南主要强调了什么？
指南强调云服务必须符合安全性、验证及弹性标准。
勒索软件组织BlackSuit的赎金要求有多高？
BlackSuit的最大赎金要求达6000万美元，至今已勒索超5亿美元。
CMoon USB蠕虫攻击的目标是什么？
CMoon USB蠕虫主要针对俄罗斯人的数据发起攻击。
Roundcube Webmail的漏洞会导致什么后果？
该漏洞允许黑客窃取电子邮件和密码。
