TAG

#資料外洩

45 篇文章

TechLab 所有關於「資料外洩」嘅文章、評測同教學，由最新排起。

AI agent 攻入 Hugging Face：prompt 同 sandbox 點解守唔住權限邊界

OpenAI 做網絡安全評測期間，模型利用 package proxy 漏洞取得網上連線，再攻入 Hugging Face 搵評測答案。件事反映 AI agent 一有工具、憑證同執行權限，安全設計就要由 prompt 延伸到網絡、身份同監察層。

vBulletin 無登入 RCE 漏洞 PoC 公開，5.x 同舊 6.x 要即查

vBulletin 爆出嚴重 remote code execution 漏洞，攻擊者毋須登入，公開 PoC 又令掃描同試攻門檻大減。受影響範圍由 5.0.0 去到 5.7.5，另包括 6.0.0 至 6.2.1；自設討論區嘅管理員應即刻核對版本同 server 紀錄。

Suno 5,530 萬電郵捲入資料外洩：付款資料只佔少數，用戶而家要查啲咩

Suno 去年 11 月發生保安事故，到今年 7 月先由 HIBP 確認外洩規模。5,530 萬代表不重複電郵數量，當中只有數萬筆涉及 Stripe 付款紀錄，未見密碼同完整卡號外洩。不過姓名、地址、消費金額同卡尾四位夾埋，已經夠騙徒整出幾可信嘅釣魚訊息。

Klue 外洩又有第二批人勒索：SaaS token 風險唔會一句刪咗就完

Klue 話原先偷走客戶資料嘅 Icarus 正喺度刪資料，但另一批人又出嚟勒索。件事最值得睇嘅位，係 Salesforce、Gong 呢類 SaaS integration 嘅 OAuth token 一俾人攞到，CRM 資料就可以連環出事。

Suno 5,528 萬用戶資料外洩：八個月後先曝光，即刻檢查電郵同卡數

AI 音樂平台 Suno 喺 2025 年 11 月遇到保安事故，涉及 5,528 萬個獨立電郵地址，去到 2026 年 7 月先曝光。完整信用卡號同密碼未見外洩，不過部分買家嘅地址、消費金額同卡資料已足以提高釣魚風險。

iPhone 18 Pro 零件清單外洩，Apple 供應鏈保密要加碼

Tata Electronics 外洩事件據報牽涉 iPhone 18 Pro 零件、供應商同測試相片。值得留意嘅係供應鏈對應表：佢可以影響談判、社工攻擊，甚至流入維修同二手灰市。

一部員工電腦中 infostealer，點樣成年後先拖垮足協系統

阿根廷足協發現機構帳戶寄出未經授權嘅電郵，地下論壇亦有人聲稱出售相關資料。Hudson Rock 認為，入口可能係一部早喺 2025 年感染 infostealer 嘅員工電腦。事件未有完整調查結果，但已經示範咗瀏覽器密碼、session、密碼重用同冇 MFA 點樣串成一次機構事故。

Suno 遭入侵揭訓練數據疑似抓自 YouTube，舊源碼補上官方冇講嘅細節

黑客據報用員工憑證闖入 Suno，取得舊源碼同客戶資料。程式碼疑似顯示公司由 YouTube Music、Deezer、Genius 等來源抓取音樂；呢啲資料同 Suno 公開披露有部分吻合，亦令唱片公司嘅 stream ripping 指控多咗技術線索，但案件仍未有裁決。

Accenture 確認資安事件：35GB 源碼同雲端憑證說法仍待核實

Accenture 經媒體確認一宗獨立資安事件；黑客論壇用戶 888 聲稱手上有 35GB 源碼、Azure token 同 config files。數量同內容未完全證實，但如果 repo secrets 真係外流，風險會由公司自己一路燒到客戶供應鏈。

Hide My Email 據報可反查真 email：iCloud+ 用家而家要點做

404 Media 同研究員稱，Apple Hide My Email 可能俾人用 alias 反查真 email，漏洞細節未公開但據報仍可用。用緊 iCloud+ 註冊網店、會員 app、newsletter 嘅人，最好先盤點高風險帳戶，唔好再當佢係強匿名工具。

2026 上半年資安大鑊整理：舊 token、AI 客服同基建一齊出事

TechCrunch 整理咗 2026 上半年幾單重災級外洩同勒索事件。睇落由政府資料到水務、學校平台、Instagram 都有，其實共通點好清楚：攻擊者唔一定靠高深漏洞，好多時係攞到舊憑證、呃到人批 login，或者揀中冇人管嘅供應鏈。

阿里傳 7 月 10 日禁 Claude Code，AI 編程工具管治要認真做

TechCrunch 引述 Reuters 等報道，阿里會由 7 月 10 日起禁員工喺工作環境用 Claude Code，改推 Qoder。呢件事最值得睇嘅位，係公司用 Codex、Claude Code、Cursor 時，code、secret 同客戶資料要點劃界。

Oracle PeopleSoft 零日漏洞畀黑客打穿逾百機構，IT 要即刻查版本同 IOC

Oracle 緊急警告 PeopleSoft PeopleTools 漏洞 CVE-2026-35273。Google/Mandiant 指 ShinyHunters 已用呢個 zero-day 入侵逾百間機構，企業 IT 要即刻核版本、套 mitigation，同查 IOC。

近百萬證件相公開上網：上載身份證之前，要問清楚三件事

The Verge 揭發一套 cannabis club 管理系統曾令近百萬張護照同相片證件暴露喺公開網上。事件未見牽涉香港服務，但對任何要你上載身份證嘅 app 都係提醒：KYC 方便，保存風險更要問清楚。

Oracle PeopleSoft 被指遭大規模攻擊，HR 同學生資料有幾高危？

ShinyHunters 聲稱攻入 100 多個 Oracle PeopleSoft 環境，部分涉及大學。呢類系統唔係普通網站後台，入面可以有 HR、學生、財務同行政資料；Oracle 同日都出咗 CVE-2026-35273 高危修補，IT 團隊要先查公開入口、版本同異常匯出。

ChatGPT Lockdown Mode 開放：防資料外傳，但會鎖起幾個好用工具

OpenAI 開始向 eligible personal accounts 同 self-serve ChatGPT Business 推 Lockdown Mode，用嚟限制 ChatGPT 連網、Agent、Deep Research 同 connector 寫入能力，減低 prompt injection 帶走敏感資料嘅機會，但功能會明顯縮水。

IBM 前網安高層指控隱瞞入侵：企業要睇清 log 同披露條款

前 IBM threat intelligence 副總裁 William Barlow 喺已解封訴訟中，指控 IBM 曾經隱瞞 2013 至 2018 年間多宗入侵。IBM 否認違法。事件未定案，但提醒企業：買保安服務，唔等於自己有證據。

ChatGPT Lockdown Mode 點防 prompt injection：開咗會犧牲咩功能

OpenAI 開始推出 Lockdown Mode，針對 prompt injection 引發嘅資料外洩風險，但代價係限制 web browsing、Deep Research、Agent Mode 同部分 connector 功能。香港用戶更要先留意官方支援地區。

Dashlane 事件拆解：encrypted vault 畀人下載，風險喺邊？

Dashlane 今次唔係話大量密碼已經解密，而係攻擊者濫用新裝置註冊 API，成功下載少量 encrypted vault。真正要睇嘅係 master password 強度、2FA、電郵保護同已登入裝置。

醫療資料加指紋一齊外洩：NYC 事件提醒香港重看 biometric 收集

NYC Health + Hospitals 外洩事件唔只係一宗美國醫療新聞。當病歷、身份文件、位置資料同指紋掌紋可能一齊流出，香港醫療機構、僱主同用家都要重新問：資料點解要收、由邊個保存、出事後點樣補救？

Windows 11 BitLocker 有零日繞過：失機唔等於一定安全

YellowKey 零日 PoC 令 Windows 11 預設 BitLocker 保護響起警號。重點唔係叫大家關閉加密，而係要分清 TPM-only、TPM+PIN、WinRE 同實體接觸風險，尤其係香港外勤 notebook、學校同中小企公司機。