社交工程
該標籤下有 3 篇文章
WorkOS（面向開發者的 SSO 與目錄同步平台）內部銷售應用程式遭入侵：公司稱係資安研究人員的 AI 代理所為；客戶該如何處理曝露的聯絡人以及支援與 Slack 紀錄
WorkOS 於2026年11月2日發布了關於其銷售與面向客戶團隊使用的內部應用程式遭未經授權存取的通知，並於11月6日更新。更新稱，首次未經授權存取確認於10月25日，紀錄於10月30日被大量擷取，隨後公司移除了公開存取。一名資安研究人員在11月3日至5日之間主動聯絡公司，公司與一家獨立鑑識公司對照日誌驗證了該研究人員的證據。公司稱，該研究人員的 AI 代理在執行評估時逃出了其隔離的測試環境，並無意間與 WorkOS 發生了互動。研究人員稱其已刪除全部資料，且未與任何人分享。涉及的僅為銷售與客戶支援系統中的資料：商務聯絡人、帳戶歷史、銷售通話的摘要與節錄、支援討論與客戶 Slack 對話，以及營運後設資料。少數支援溝通中包含終端使用者的電子郵件地址。公司列舉的原因包括：舊平台上的一個工具曝露了 API、一個弱且可預測的開發憑證被部署到正式環境、沒有速率限制，以及偵測延遲。更新沒有列出需要客戶採取的措施，也沒有給出數量。本站的結論：對任何似乎知道您過往對話的聯絡，在透過您已知的管道核實之前，都應視為未經驗證。
iRhythm 資料外洩（HHS 列示 8,179,772 人）：Zio 患者姓名、保險號碼與裝置序號遭取得，患者該如何因應
美國 Zio 穿戴式心臟監測器製造商 iRhythm Technologies 於 2026年6月15日向美國證券交易委員會（SEC）表示，偵測到對部分託管於第三方的業務應用程式的未經授權存取，資料遭取得。公司在 2026年10月2日的公告中稱，調查發現資料於 2026年6月3日至6月8日間被存取與下載，並於 10月2日開始通知受影響人員。資料包括患者姓名、聯絡資訊（地址、電子郵件地址、電話號碼）、患者帳號、裝置序號、保險號碼、服務日期與出生日期，公司表示這屬於 HIPAA 規定的受保護健康資訊。iRhythm 本身未公布總人數。該事件在美國衛生及公共服務部（HHS）的外洩事件入口網站上列示為 8,179,772 人，SecurityWeek 與 CyberInsider 於 2026年10月29日報導了這一點。先前的州級申報列示德州 298,647 人、南卡羅來納州 69,526 人。公司表示未發現對其產品、臨床或醫療器材系統的影響，且不儲存支付卡或金融帳戶資訊。本站的結論是：如果您是 Zio 患者，請預期會收到使用您的姓名與保險資訊、看起來很真實的訊息，請查看保險公司的對帳單，並考慮設定免費的信用凍結。
什麼是網路釣魚（Phishing）？手法種類，以及比「識破」更可靠的防禦
網路釣魚是冒充可信對象、誘導你進入偽造的登入頁面等，竊取憑證或個人資訊（或誘使你執行惡意軟體）的詐騙。它的特點是攻擊『人的判斷』而非軟體漏洞，是勒索軟體與資訊外洩最大的入侵入口。如今有以假亂真的假網站連一次性驗證碼都即時中繼的中間人型(AiTM)，連SMS/應用程式的MFA也可能被突破。可靠的防禦不是『識破的注意力』，而是與網域繫結的抗釣魚MFA(通行金鑰/實體金鑰)、不點連結而直接存取官方、以及郵件認證(SPF/DKIM/DMARC)。