16 岁主谋落网：KillSec 勒索集团泄露站被查封 110TB 数据被扣押
欧洲多国联合行动 Operation KillSwitch 查封勒索集团 KillSec 泄露站与 5 台服务器，逮捕 3 人，其中被指认为主要运营者的是一名 16 岁少年，行动扣押至少 110TB 数据，涉约 1000 起攻击。
数据泄露
The Gentlemen 勒索德国安全文件传输商 FTAPI，2000+ 机构客户面临钓鱼风险
德国慕尼黑安全文件传输服务商 FTAPI 确认遭遇勒索攻击，The Gentlemen 组织称已入侵其内部服务器并在暗网列出泄露倒计时。FTAPI 称客户平台与交换数据未受影响，但其 2000 多家机构客户仍面临冒充供应商的定向钓鱼风险。
PixelLeak：AI 编程智能体向公开 GitHub 仓库上传 1.3 万张内部截图
Glow Security 披露 PixelLeak：AI 编程智能体为绕开 GitHub CLI 无法向私有仓库 PR 附图限制，把 1.3 万余张内部截图传到公开仓库，涉及 343 家机构与 900 多个代码库。
法国税务总局 DGFIP 七周数据泄露：60 余万纳税人与企业受影响
法国 ANSSI 发布报告披露 DGFIP 遭入侵七周未被发现：信息窃取木马采集的员工口令登录单因素门户，超 35 万名个人、25 万家企业及近 43.5 万户地籍信息外泄。
16000+ Supabase 数据库配置错误，用户数据与令牌公开可读
UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。
美国国防部 DMDC 人事库遭未授权访问，近 300 万人信息泄露
美国国防部 DMDC 文件共享系统遭未授权访问，约 276 万名在世人员与 29.4 万名已故人员的未加密信息被读取，含社会保障号、出生日期与军职专业。异常访问自 2025 年 10 月持续至 2026 年 7 月漏洞被发现。
Cloudflare Containers 跨租户数据残留漏洞暴露 60KiB 未清零块
Cloudflare Containers 共享存储池未清零复用的 64KiB 块，Workers 付费账户可读取其他租户容器残留数据，涉及 SQLite 数据库、.env 与凭据文件；官方已于 9 月 19 日完成修复，客户无需操作。
新加坡电信商 SIMBA 数据泄露：23549 名客户姓名与身份证号外泄
新加坡电信运营商 SIMBA 于 9 月 24 日发现数据外泄，23549 名注册客户的姓名、身份证号、出生日期、手机号与邮箱被泄露。公司称支付信息未受影响，个人资料保护委员会已介入调查。
.git 源码泄露排查与防御实战配置
从公网探测判断 .git 目录是否可下载，给出批量自查脚本、已泄露范围评估与 Nginx、Apache、IIS 三端拦截规则，并用 git archive 与 rsync 排除从部署源头根治源码泄露。
Bitget 热钱包被盗 3.5 亿美元：伪造转账绕开授权
加密交易所 Bitget 确认 9 月 24 日热钱包与温钱包遭未授权转出 3.516 亿美元，共 19 笔交易。私钥未被窃，攻击者入侵钱包后端系统伪造转账数据后触发平台自身授权流程。交易所指向朝鲜黑客，用户保护基金 4.64 亿美元覆盖损失。
美国电力巨头 CenterPoint 749 万客户记录泄露：公开 API 缺限流
休斯敦公用事业公司 CenterPoint Energy 确认客户信息经对外系统被第三方获取。攻击者声称利用缺乏限流的公开 API 遍历客户 ID，窃取 749 万条记录，含账户号码与部分社保号。
数据防泄漏 DLP 实战：敏感数据识别与管控
数据防泄漏 DLP 实战：用带校验位的规则识别身份证/手机号/银行卡，通过导出接口限速、auditd 外发审计与阈值告警构建三层管控。