Buzz
Và còn nhiều hơn nữa. Mỗi tuần, chúng tôi tổng hợp tin tức về bảo mật và quyền riêng tư mà chúng tôi không đề cập sâu vào. Nhấn vào các tiêu đề để đọc toàn bộ câu chuyện và giữ an toàn nhé.
Flipper Zero là một công cụ hack đa năng được thiết kế cho các nhà nghiên cứu bảo mật. Thiết bị kiểm thử kích thước bút có thể chặn và phát lại mọi loại tín hiệu không dây—bao gồm NFC, hồng ngoại, RFID, Bluetooth và Wi-Fi. Điều này có nghĩa là có thể đọc các vi mạch và kiểm tra tín hiệu được phát từ các thiết bị. Một chút tinh quái hơn, chúng tôi đã phát hiện rằng nó có thể dễ dàng sao chép thẻ vào các tòa nhà và đọc thông tin thẻ tín dụng thông qua quần áo của mọi người.
Trong vài tuần qua, Flipper Zero, có giá khoảng $170, đang thu hút sự chú ý với khả năng làm quấy rối iPhone, đặc biệt là bằng cách đưa chúng vào chuỗi lặp từ chối dịch vụ (DoS). Như Ars Technica đưa tin tuần này, Flipper Zero, với một số firmware tùy chỉnh, có khả năng gửi 'một dòng liên tục các tin nhắn' yêu cầu iPhone kết nối qua các thiết bị Bluetooth như Apple TV hoặc AirPods. Số lượng thông báo liên tục, được gửi bởi một Flipper Zero gần đó, có thể làm cho iPhone quá tải và gần như không sử dụng được.
“Điện thoại của tôi đang xuất hiện những cửa sổ pop-up này mỗi vài phút, sau đó điện thoại của tôi sẽ khởi động lại,” nhà nghiên cứu an ninh Jeroen van der Ham cho biết về một cuộc tấn công DoS mà anh ta trải qua trong khi di chuyển ở Hà Lan. Sau đó, anh ta mô phỏng lại cuộc tấn công trong môi trường phòng thí nghiệm, trong khi các nhà nghiên cứu an ninh khác cũng đã thể hiện khả năng gửi thư rác trong vài tuần qua. Trong các thử nghiệm của van der Ham, cuộc tấn công chỉ hoạt động trên các thiết bị chạy iOS 17—và hiện tại, cách duy nhất để ngăn chặn cuộc tấn công là tắt Bluetooth.
Năm 2019, những hacker liên kết với dịch vụ tình báo của Nga đã xâm nhập vào mạng của công ty phần mềm SolarWinds, cài đặt một cổng sau cửa và cuối cùng làm cách nào để họ xâm nhập vào hàng nghìn hệ thống. Tuần này, Ủy ban Chứng khoán và Giao dịch Hoa Kỳ buộc tội Tim Brown, CISO của SolarWinds, và công ty với tội lừa dối và 'thất bại trong kiểm soát nội bộ.' SEC cho rằng Brown và công ty đã nói quá về các biện pháp an ninh mạng của SolarWinds trong khi 'nói quá hoặc không tiết lộ rủi ro đã biết.' SEC khẳng định rằng SolarWinds đã biết về 'những khuyết điểm cụ thể' trong các biện pháp an ninh của công ty và đã đưa ra những tuyên bố công khai không được phản ánh trong đánh giá nội bộ của chính mình.
“Thay vì giải quyết những lỗ hổng này, SolarWinds và Brown đã tham gia vào một chiến dịch để vẽ một bức tranh giả mạo về môi trường kiểm soát mạng của công ty, do đó làm mất thông tin vật chất chính xác cho các nhà đầu tư,” Gurbir S. Grewal, giám đốc của Phòng Thực thi của SEC nói trong một tuyên bố. Phản ứng lại, Sudhakar Ramakrishna, CEO của SolarWinds, nói trong một bài đăng trên blog rằng những cáo buộc là một phần của một 'hành động thực thi sai lầm và không đúng đắn.'
Trong nhiều năm, các nhà nghiên cứu đã chỉ ra rằng các hệ thống nhận diện khuôn mặt, được đào tạo trên hàng triệu hình ảnh của người dân, có thể nhận diện nhầm phụ nữ và những người có màu da màu đen ở tỷ lệ không cân đối. Những hệ thống này đã dẫn đến những vụ bắt giữ sai lầm. Một cuộc điều tra mới từ Politico, tập trung vào một năm yêu cầu nhận diện khuôn mặt của cảnh sát ở New Orleans, đã phát hiện ra rằng công nghệ này gần như chỉ được sử dụng để cố gắng nhận diện người da đen. Hệ thống cũng 'thất bại trong việc nhận diện đối tượng đa số thời gian,' báo cáo nói. Phân tích 15 yêu cầu sử dụng công nghệ nhận diện khuôn mặt cho thấy chỉ có một trong số chúng áp dụng cho một đối tượng màu trắng, và trong chín trường hợp công nghệ không tìm thấy một kết quả phù hợp. Ba trong số sáu kết quả khớp cũng là không chính xác. “Dữ liệu đã chứng minh rằng các nhà đấu tranh chống lại nhận diện khuôn mặt đa phần là đúng,” một thành viên hội đồng thành phố nói.
Công ty quản lý danh tính Okta đã tiết lộ thêm chi tiết về một cuộc xâm nhập vào hệ thống của mình, mà nó đầu tiên công bố vào ngày 20 tháng 10. Công ty cho biết những kẻ tấn công, đã tiếp cận hệ thống hỗ trợ khách hàng của mình, đã truy cập vào các tệp thuộc về 134 khách hàng. (Trong những trường hợp này, khách hàng là các công ty cá nhân đăng ký dịch vụ của Okta). “Một số trong những tệp này là tệp HAR chứa các mã thông báo phiên có thể được sử dụng cho các cuộc tấn công chiếm phiên,” công ty tiết lộ trong một bài đăng trên blog. Những mã thông báo phiên này đã được sử dụng để “chiếm đoạt” các phiên Okta của năm công ty riêng biệt. 1Password, BeyondTrust và Cloudflare đã tiết lộ trước đó rằng họ đã phát hiện hoạt động đáng ngờ, nhưng không rõ là hai công ty còn lại là ai.
