Fortinet 近日发布新概念验证 (PoC) 漏洞引发了人们对企业网络基础设施安全性的迫切担忧，该漏洞影响Fortinet 的多款产品。该漏洞利用了源于不正确的边界检查的缺陷，允许攻击者在不需要身份验证凭证的情况下触发缓冲区溢出条件，使远程攻击者能够通过请求执行任意代码或命令，从而可能使他们完全控制受感染的设备。目前Fortinet 提供了临时解决方法，组织可以禁用受影响设备上的 HTTP HTTPS 管理界面，但是此临时措施不应取代立即修复工作，仍需要更进一步的研究。

网络安全研究人员近期发现了高级持续性威胁组织正在持续关注ClickFix 技术，该技术能伪装成常规错误信息、CAPTCHA验证提示或系统维护通知，诱骗受害者在自己的系统上执行恶意代码。该技术已成功入侵医疗保健、酒店、汽车和政府机构等不同行业的组织，遍布欧洲、中东、美国等地。目前研究人员还在继续研究，他们提示用户需要对看似正确的三步验证过程仍然保持警惕。

近期据谷歌威胁情报小组称，一个黑客组织数月来一直将 Salesforce 实例作为攻击目标，利用语音网络钓鱼进行数据盗窃和后续勒索。 谷歌追踪编号为 UNC6040的这些黑客冒充成IT工作者诱骗跨国公司分支机构员工分享敏感凭证，然后利用凭证访问对应Salesforce 数据。除了直接窃取数据之外，黑客还能够访问受害者的其他云服务并进入公司内部网络。Salesforce 在博客中敦促客户启用多因素身份验证、限制访问权限并限制登录 IP 地址，以避免此类情况的发生。

网络安全研究员Jeremiah Fowler近日发现美国无代码应用开发平台Passion.io因数据库未加密且无密码保护，导致360万创作者及用户的敏感信息遭大规模泄露。 该暴露数据库存储量高达12.2TB，涵盖3,637,107条记录，包含姓名、邮箱、实际地址、付款信息等核心隐私数据，部分用户及儿童的个人照片亦被曝光。泄露数据可直接关联至平台上的应用开发者、影响者及企业客户，其内部财务文件和付费课程（视频 PDF）同样遭窃。

ESET近日研究揭露APT组织“BladedFeline”被曝在目标网络中潜伏近十年，专门针对伊拉克及库尔德地区政府官员实施长期网络间谍活动。 该组织至少自2017年起活跃，专注于开发定制化恶意软件以维持并扩大对目标政府系统的访问权限。2023年，ESET发现其利用钓鱼攻击和水坑攻击渗透库尔德及伊拉克政府网络，部署名为“SharpTongue”的恶意框架窃取敏感数据。其行动高度隐蔽，部分基础设施甚至伪装成合法新闻网站。

T-Mobile新推出的T-Life应用因默认开启且未充分告知用户的屏幕记录功能引发隐私担忧。该功能会定期在应用内抓取屏幕截图，旨在提供“更流畅的体验”和故障排除，但可能会无意中捕获敏感的个人和财务信息（如支付账号）。用户虽可在设置中关闭名为“屏幕记录工具”的功能（路径：管理 > 设置 > 偏好），但选项隐蔽且默认开启，安装过程无明确提示。更复杂的是，部分设备（如旧款iPhone和Pixel）用户报告无法找到关闭选项。T-Mobile回应称无意改变此设计。

全球知名数据经纪公司LexisNexis近日确认发生重大数据泄露，超36.4万人的敏感信息遭窃。该公司为91%财富百强企业提供风控服务，此次泄露影响尤为严重。2025年4月1日，LNRS通过第三方警告发现，黑客已于2024年12月25日利用其员工被入侵的GitHub账户，窃取软件开发平台数据。泄露信息包含受害者姓名、邮箱、住址、出生日期，以及社保号、驾照号等核心身份证明文件，财务数据未受影响。

据外媒报道，德克萨斯州州长阿博特近期签署《德克萨斯州应用商店责任法案》，要求从2026年起，苹果和谷歌应用商店必须对所有用户实施严格年龄验证。该法案要求用户上传带照片身份证件甚至生物识别自拍照，并将用户划分为儿童、青少年、成人等年龄类别。未验证者可能被限制下载应用或进行内购，同时法案还要求父母证明其监护权合法性。

美国联邦调查局近日发出警告，名为BADBOX 2.0的安卓恶意软件已感染超过100万台家庭联网设备，将其转化为用于犯罪活动的“住宅代理”。该僵尸网络由数百万受感染设备组成，网络犯罪分子通过出售或提供这些设备的家庭网络访问权限进行非法活动。感染主要通过两种途径：设备出厂前即被预装恶意软件，或用户从Google Play及第三方应用商店下载含后门的应用程序 固件更新后中招。一旦设备连入家庭网络，便会沦为僵尸网络的一部分。

安全机构Acronis近日披露，开源远程控制木马Chaos RAT（5.0.3版）正通过伪装成Linux网络诊断工具（如 "NetworkAnalyzer.tar.gz "）及钓鱼邮件大规模传播。该恶意软件采用Golang编写，具备Windows Linux双平台攻击能力。

据外媒称，思科近日紧急修补关键认证绕过漏洞CVE-2025-20286（CVSS 9.9），该漏洞影响运行于AWS、Azure及Oracle云（OCI）的ISE身份服务引擎云部署。漏洞源于系统错误生成静态凭证——同一云平台同版本的所有ISE实例共享相同认证密钥（如AWS所有3.1版凭证相同），攻击者无需验证即可提取凭据。

网络安全公司Cofense近日披露，自2024年11月起针对全球酒店业的钓鱼攻击持续肆虐，攻击者伪造Booking.com邮件诱使员工点击 "虚假验证 "链接。该活动在2025年3月达到峰值，占同类攻击总量的47%。欺诈邮件以 "紧急客房需求 "或 "预订确认 "为饵，嵌入伪装成CAPTCHA验证页的ClickFix系统——该页面诱导Windows用户通过 "运行命令框 "执行隐藏脚本，自动在设备植入远控木马（53%为XWorm RAT）或信息窃取程序（如PureLogs）。

据外媒报道，2025年6月4日，美国司法部联合荷兰警方一举查封全球最猖獗的信用卡犯罪市场BidenCash及其145个关联域名。该平台自2022年3月公然在明网运营，突破暗网犯罪常规模式，通过免Tor浏览器访问策略吸引超117万注册用户，促成1500万张支付卡数据交易，非法牟利约1700万美元。

据网络安全论坛近日曝料，黑客于2025年6月3日公开宣称已完全解密8600万AT&T客户的敏感信息，并在俄语犯罪论坛发布包含88,320,018条记录的数据集（去除重复后影响86,017,090名用户）。此次泄露不仅涵盖姓名、住址、电话等基础信息，更关键的是成功破译了43,989,219条社会安全号码（SSN）及出生日期，首次以明文形式曝光核心加密数据。

网络安全公司Positive Technologies近日揭露代号“幻影谜”的新型银行木马攻击行动，持续窃取巴西用户的银行凭证与金融数据。该恶意软件通过伪装成政府文件的钓鱼邮件传播，内含恶意MSI安装程序。一旦执行，便在Chrome、Edge及Brave等浏览器上秘密部署恶意扩展程序。攻击采用多重技术突破传统防护：不仅利用浏览器扩展绕过安全检测，更针对巴西特有防护体系——在感染前主动探测当地主流银行安全软件“华沙技术”（Warsaw Technology）。该行动已渗透70余家企业机构。

乌克兰警方近日宣布抓获一名长期活跃的黑客，其自2018年起通过开源情报手段渗透国际托管公司系统，非法控制超5000个客户账户，并滥用服务器资源部署虚拟机进行大规模加密货币挖矿，造成托管商高达450万美元损失。

美国联邦调查局近日联合多国机构发布警报称，截至2025年5月，Play勒索软件团伙已攻击全球约900家组织，较2023年10月暴增三倍，北美、南美及欧洲的关键基础设施与大型企业遭重点渗透。该团伙被列为2024年最活跃勒索组织之一，其恶意软件经实时重新编译以规避检测，并采用电话威胁施压支付赎金。攻击者利用远程管理工具漏洞（CVE-2024-57726 27 28）入侵系统植入后门，通过定制化VSS工具窃取文件数据，并拒绝提供Tor谈判页面而强制邮件沟通。

近期安全机构Checkmarx、ReversingLabs等接连披露，npm、PyPI和RubyGems三大开源平台遭遇协同供应链攻击，发现数十个恶意包实施多重危害：包括窃取加密货币钱包资金（如以太坊 Solana私钥）、通过Telegram API令牌劫持通信数据，甚至植入可远程擦除整个代码库的毁灭性负载。部分恶意包通过克隆主流工具（如Fastlane的Telegram插件）并篡改API路径至C2服务器（如buidanhnam95.workers[.]dev），实现数据窃取；另一些则伪装成开发工具（如 "xlsx-to-json-lh "），在接收法语指令后瞬间清空项目目录。

谷歌近日曝光代号UNC6040的网络犯罪组织，该团伙专门通过语音钓鱼手段入侵企业Salesforce系统实施数据窃取与勒索。攻击者冒充IT支持人员，诱骗英语员工授权恶意修改版Salesforce数据加载程序，借此非法访问企业数据。该程序被批准后，黑客不仅窃取Salesforce平台信息，更横向渗透至Okta、Microsoft 365等关联系统。部分攻击在潜伏数月后演变为勒索。

6月5日下午，2025第十届安全创客汇在北京迎来巅峰对决。经过现场的激烈角逐，安泉数智、雾帜智能、零零信安 夺得技术创新赛道年度冠、亚、季军，泛联新安、 大道云行、慧盾安全夺得成长潜力赛道年度冠、亚、季军，并现场与奇安投资进行了签约仪式。安全创客汇自2016年至今，已吸引累计上千家企业参与，每年进入决赛的企业赛后均已获得数轮融资，总融资额超过50亿元，有效推动了网安行业高水平创新与高质量发展。