COLDCARD 官方 X 帳戶貼出釣魚連結 公司稱未見未經授權登入
Bitcoin 硬件錢包 COLDCARD 的官方 X 帳戶今日貼出釣魚連結，冒充緊急安全更新，促請用戶立即遷移錢包。COLDCARD 表示帖文已刪除，帳戶自 2017 年起用離線 2FA，正調查事件並已聯絡 X。
標籤
釣魚攻擊
Discord 機械人 Double Counter 外洩 27.5 萬個電郵
Discord 防分身機械人 Double Counter 外洩 27.5 萬個電郵。查詢網站 HIBP 周三（7 日）收錄資料，包括電郵、Discord 用戶名稱及部分付費用戶姓名與郵政編碼。Double Counter 指攻擊者經 Metabase 漏洞入侵。
微軟揭釣魚新招冒認 IT 部門 passkey 全程只是幌子
微軟發現有人冒認 IT 部門叫員工設定 passkey，然後一條都沒有真的設定過。微軟威脅情報周四（10 日）指，攻擊者由 5 月起以電話或短訊冒認公司 IT，聲稱員工要緊急更新 passkey 設定，再帶去一個掛着公司名字的假登入頁。密碼連同員工按下的 MFA 批准被即時轉送到真的登入流程，對方取走的是驗證之後那個 session token。之後從 SharePoint 和 OneDrive 下載檔案，每小時刻意保持在 1,000 個以下。微軟指這套手法至少由兩組勒索集團在用，下游是 ShinyHunters 和 Helix。
AdaptHealth 服務 410 萬病人 外洩的是 411 萬人
AdaptHealth 說它服務 410 萬名病人。今次外洩的是 411 萬人。這間美國家用醫療器材商向美國衞生及公眾服務部申報，一宗網絡入侵涉及 4,115,802 人的姓名、聯絡方法、醫療保險及健康狀況資料。入侵由 6 月 5 日開始，入口是一名第三方外判商被話術騙走的登入帳號，攻擊者憑它進入病人管理系統及電子病歷入口。公司表示不收集社會安全號碼，銀行及信用卡資料亦不在受影響系統內。勒索組織 ShinyHunters 在 6 月下旬把 AdaptHealth 加進資料外洩網站，公司由始至終沒有確認過，該條紀錄其後又消失。
Trezor 官方網域寄出釣魚警告 四星期內第三宗合作商事故
這一次，發信提醒用戶小心的網域，就是 Trezor 自己的。 繼物流商外洩客戶資料之後，硬件錢包商 Trezor 香港時間 10 號凌晨在 X 表示，第三方電郵服務供應商被入侵，一封訛稱 STM32 晶片有重大漏洞、促用戶立即更新裝置的保安警告，由公司官方網域寄出。Trezor 強調郵件並非出自公司，籲用戶不要點擊任何連結，並已將涉事網域下架。 翻查資料，Trezor 於 8 月 13 日公布物流商 ShipMonk 外洩 13,689 名客戶資料，9 月 4 日再確認另有 67,000 名美國客戶受影響，連同今次已是四星期內第三宗合作商事故。
假 AML 查詢網站騙錢包 真查詢只需公開地址
網絡安全公司 Malwarebytes 發現一批假冒加密貨幣 AML 查詢網站，以「合規檢查」為名誘使用戶連接錢包，再引導他們批准一筆盜取資產的交易。真正的 AML 查詢只需要輸入公開錢包地址，任何要求連接錢包的「查詢工具」都應該當成騙局。