乌克兰开始将敏感数据转移到境外

乌克兰开始将敏感数据转移到境外 乌克兰政府官员已经开始将敏感数据储存在国外，以保护其免受俄罗斯的网络和物理攻击，并正在与几个欧洲国家谈判，将更多的数据库转移到国外。 乌克兰数字转型部副部长乔治-杜宾斯基(George Dubinskiy)说，自战争开始以来，来自不同政府部委和办公室的约150个登记处，或其备份副本，已经被转移到国外，或正在讨论转移。 他说，以前，政府的许多信息库都存放在乌克兰的数据中心，在备份副本被转移之前，需要首先转移到云端。他说，政府优先考虑将重要的数据库从旧的遗留数据存储系统中移出，并创建了这些注册表的副本，以存储在乌克兰以外的云端。 Dubinskiy先生说："为了安全起见，我们希望把备份放在国外。" 他说，将数据库转移到云端增加了一层安全性，因为即使乌克兰的数据中心被俄罗斯的武器摧毁，政府官员仍然可以访问它。他补充说，政府指定了法律和安全条款，以帮助保护数据库免受网络和其他威胁。

DeepSeek数据库暴露百万条敏感信息，Wiz Research发现并协助修复

DeepSeek数据库暴露百万条敏感信息，Wiz Research发现并协助修复 近日，Wiz Research发现中国AI初创公司DeepSeek的一个公开且未认证的ClickHouse数据库，暴露了超过百万条敏感日志数据，包括聊天记录、API密钥、后端细节和操作元数据。该数据库托管在DeepSeek的子域名上，允许未经授权的用户执行任意SQL查询，存在严重的安全风险。 Wiz Research及时向DeepSeek报告了这一问题，DeepSeek迅速采取措施修复了漏洞。

WSJ：中国警方的数据库对外网开放访问了一年多，导致泄密

WSJ：中国警方的数据库对外网开放访问了一年多，导致泄密 今年早些时候发现安全漏洞的网络安全专家说，这可能是历史上最大的个人数据盗窃案之一，也是中国最大的已知网络安全漏洞，因为一个常见的漏洞使数据在互联网上被公开。 据网络安全专家称，上海警方的记录包括近10亿中国公民的姓名、政府身份证号码、电话号码和事件报告，是安全存储的。但他们说，一个用于管理和访问数据的仪表板被设置在一个公共网站上，而且没有密码，这使得任何具有相对基本技术知识的人都可以随意进入，复制或窃取信息库。 暗网情报公司Shadowbyte的创始人Vinny Troia说："他们将这么多数据暴露在外，这太疯狂了。" 网络安全研究公司SecurityDiscovery的老板鲍勃-迪亚琴科（Bob Diachenko）表示，该数据库从2021年4月到上个月中旬一直暴露在外面，当时其数据突然被清除，取而代之的是一张赎金字条，上海警方发现了这一点。 根据Diachenko先生提供的截图，"你的数据是安全的"，赎金字条上写道。"联系你的数据......恢复10btc"，意思是数据将以10个比特币，大约20万美元的价格被归还。 这个赎金数额与一位匿名用户上周四在一个在线网络犯罪论坛上开始要求的价格相吻合，以换取对一个数据库的访问权，该用户声称该数据库包含从上海国家警察数据库盗取的数十亿条中国公民的信息记录。 这个周末开始在社交媒体上流传的帖子引起了网络安全专家的警觉，不仅是因为泄漏的规模，还因为政府数据库中的信息的敏感性。 上海市政府和中国网信办（该国的互联网监管机构）没有对评论请求作出回应。 网络安全专家拼凑出了数据库真实性的新证据，以及这么多私人信息如何落入网络犯罪分子手中的细节。 他们说，仪表盘就像一扇通向数据库的大门，即使在所有数据丢失后也没有关闭，直到这个漏洞开始得到公众的广泛关注。特罗亚先生说，窃取数据的人很可能是正在兜售数据的同一个实体。 他说："很常见的是，如果赎金受害者不支付赎金，那么他们会试图在网上出售数据。" 无法确定该数据库被公开访问是偶然还是故意的，也许是为了在少数人之间更容易分享数据。特罗亚先生和迪亚琴科先生说，这种漏洞很常见，但他们都表示，发现如此规模的不安全数据库令他们感到震惊。 两人都说，他们也证实了匿名泄密者的说法，即它包括超过23兆字节的数据，涵盖多达10亿人。他们说，一个名为 "person_address_label_info_master "的文件包含了人们的姓名、生日、地址、政府身份证和身份证照片，长度接近9.7亿行，这表明它包括同样多的人的详细信息，假设没有重复的条目。 该文件标记了有犯罪史的个人，包括有交通违规行为的人、被认为是逃犯的人以及被指控犯有强奸或杀人罪的人。它还包括一个 "应该被密切关注的人 "的标签，这是中国政府监控系统中经常使用的一种称呼，以表示被认为对社会秩序构成威胁的人。 数据泄露突出了一些政策研究人员所描述的中国信息安全方法中的核心矛盾。

访问网站时保护自己的敏感数据

访问网站时保护自己的敏感数据 如果您不想每次访问网站时都花时间阅读用户协议，可以使用 ToSDR 服务。这项服务可以帮助您在访问网站资源时保护自己的敏感数据。 该服务会对网站进行评估，并给出一个评级，帮助您了解隐私风险有多大。评级 "F"表示隐私非常糟糕，"A"表示非常好。此外，该服务还有一个扩展功能，使用起来可以更方便。 #tools

超过 8 亿条记录泄露：包含中国人脸和车牌数据库在公网上暴露了数月，数据库和图像没有密码保护

超过 8 亿条记录泄露：包含中国人脸和车牌数据库在公网上暴露了数月，数据库和图像没有密码保护 储存了数百万张人脸和车牌的中国庞大数据库在互联网上曝光了几个月，然后在8月悄然消失。 虽然它的内容对中国来说似乎不值一提，因为在中国，面部识别是例行公事，国家监控无处不在，但这个被曝光的数据库的规模是惊人的。在高峰期，该数据库拥有超过8亿条记录，是今年规模最大的已知数据安全漏洞之一，仅次于6月份上海警方数据库的10亿条记录的大规模数据泄露。在这两个案例中，数据可能是在无意中暴露的，是人为错误的结果。 被曝光的数据属于一家位于中国东海岸杭州的科技公司，名为新爱电子（Xinai Electronics）。该公司建立了控制人员和车辆进入中国各地工作场所、学校、建筑工地和停车库的系统。它的网站吹嘘其将面部识别技术用于建筑物出入之外的一系列用途，包括人事管理，如工资发放、监控员工出勤和业绩，而其基于云的车牌识别系统允许司机在无人值守的车库中支付停车费，这些车库由工作人员远程管理。 正是通过一个庞大的摄像头网络，新爱公司积累了数百万的脸部指纹和车牌，其网站声称这些数据 "安全地存储 "在其服务器上。 但事实并非如此。 安全研究员Anurag Sen在中国的一个阿里巴巴托管的服务器上发现了该公司暴露的数据库，并请求TechCrunch帮助报告新爱的安全漏洞。 森说，该数据库包含了令人震惊的信息量，而且与日俱增，包括数以亿计的记录和新爱公司拥有的几个域名上托管的图像文件的完整网址。但是，数据库和托管的图像文件都没有密码保护，任何知道去哪里找的人都可以通过网络浏览器访问。 该数据库包括高分辨率人脸照片的链接，包括进入建筑工地的建筑工人和办公室的访客，以及其他个人信息，如个人的姓名、年龄和性别，还有居民身份证号码，这是中国对国民身份证的回应。该数据库还有由新安公司在停车场、车道和其他办公室入口处的摄像头收集的车辆牌照记录。

微软人工智能研究人员在 GitHub 上发布开源训练数据时，意外暴露了数十 TB 的敏感数据，包括私钥和密码

微软人工智能研究人员在 GitHub 上发布开源训练数据时，意外暴露了数十 TB 的敏感数据，包括私钥和密码 在与 TechCrunch 分享的研究中，云安全初创公司 Wiz表示，作为其对云端数据意外暴露问题的持续研究的一部分，他们发现了一个属于微软人工智能研究部门的 GitHub 存储库。 该 GitHub 存储库提供了用于图像识别的开源代码和 AI 模型，访问者被指示从 Azure 存储 URL 下载模型。然而，Wiz 发现该 URL 被配置为授予整个存储帐户的权限，从而错误地暴露了其他私人数据。 这些数据包括 38 TB 的敏感信息，其中包括两名 Microsoft 员工个人计算机的个人备份。这些数据还包含其他敏感个人数据，包括 Microsoft 服务的密码、密钥以及来自数百名 Microsoft 员工的 30,000 多条内部 Microsoft Teams 消息。 据 Wiz 称，该 URL 自 2020 年起就暴露了这些数据，该 URL 也被错误配置为允许“完全控制”而不是“只读”权限，这意味着任何知道在哪里查看的人都可能删除、替换和注入恶意内容内容进入其中。 Wiz 指出，存储帐户并未直接公开。相反，Microsoft AI 开发人员在 URL 中包含了过于宽松的共享访问签名 (SAS) 令牌。SAS 令牌是 Azure 使用的一种机制，允许用户创建可共享链接，授予对 Azure 存储帐户数据的访问权限。 Wiz 表示，它于 6 月 22 日与微软分享了调查结果，两天后，即 6 月 24 日，微软撤销了 SAS 令牌。微软表示，它于 8 月 16 日完成了对潜在组织影响的调查。