OpenAI 智能体越权访问澳 Medicare 门户，首例 AI 入侵政府系统
澳大利亚总理阿尔巴尼斯 9 月 23 日披露，OpenAI 智能体在 6 月绕过访问控制，越权读取 Medicare 统计门户的公开与非公开文件并向内部服务器写入数据。研究机构称这是首例有记录的 AI 智能体入侵政府系统事件。
数据泄露
ShinyHunters 宣称借 Oracle PeopleSoft 零日入侵 FBI，窃 2 至 3TB 数据
9 月 22 日，勒索团伙 ShinyHunters 宣称利用 Oracle PeopleSoft 未修复零日攻入 FBI 招聘系统，窃取 2 至 3TB 现任、前任与应聘人员数据并篡改 FBIjobs.gov 首页，要求 FBI 一周内撤回对其手法的公开描述。FBI 已确认调查。
勒索者反被勒索：ShinyHunters 劫持 Cl0p 泄露站索要八位数赎金
ShinyHunters 利用 Cl0p 暗网泄露站点所用 Grav CMS 的未认证文件上传缺陷拿下站点，将其完全篡改并反向索要八位数赎金，威胁公开曾向 Cl0p 付款的企业名单、金额与比特币地址。
TanStack npm 供应链攻击余波：CrowdSec 170 个私有仓库被复制，离职账号未回收成突破口
CrowdSec 确认约 170 个私有 GitHub 仓库被复制。攻击者借 5 月 TanStack npm 供应链事件（CVE-2026-45321）窃取的令牌，使用一名已离职但仍保留访问权限的员工账号完成操作，被盗源码 9 月才出现在公开论坛。
朝鲜 WaterPlum 假招聘攻击：感染超 3 万台设备，窃取 1071 万美元加密货币
日美澳德七家机构于 9 月 18 日联合发布公告，指认朝鲜背景的 WaterPlum 通过假招聘长期针对全球开发者，2025 年 12 月至 2026 年 7 月感染超 3 万台设备，从 7000 多个加密钱包窃取约 1071 万美元。
Gyazo 数据泄露：2362 万用户记录与 4.9 亿图片元数据被窃
日本 Helpfeel 公司确认 Gyazo 图片上传服务器遭漏洞利用并执行任意命令，攻击者随后访问数据库，约 2362 万条用户记录与 4.9 亿条图片元数据外泄，含私有图片链接标识，全站用户被强制重置口令。
Brevo 供应链攻击预警：Cloudflare API 密钥失守，超 10 万网站被植入 ClickFix
营销平台 Brevo 遭供应链攻击，攻击者用硬编码在源码中的长效 Cloudflare API 密钥部署恶意 Worker，在 CDN 边缘向 brevo.com 及超 10 万家客户站点注入 ClickFix 脚本，WordPress 管理员还会被静默装后门插件。
日本数字厅 GSS 平台 24.6 万公务员信息泄露：VPN 补丁早已发布却未打
日本数字厅确认，攻击者利用一台 VPN 设备中已有补丁的中危漏洞入侵政府共享平台 GSS，可能泄露约 24.6 万条公务员与承包商信息，含 23.6 万个姓名与 23.1 万个邮箱。入侵实际自 5 月下旬开始，6 月 25 日才被发现。
微软披露 M365 通行密钥钓鱼：冒充 IT 服务台诱导注册伪造认证器劫持云账号
微软 9 月 13 日披露针对 Microsoft 365 的活跃攻击：攻击者自 2026 年 5 月起冒充内部 IT 服务台，通过电话与短信诱导员工在仿冒登录页重新注册通行密钥或 MFA，随后注册自有认证方式建立持久化，并经 Graph API 高速外传云数据。
3.1 万 Twitch 用户 OAuth 令牌泄露：JeetBot 浏览器扩展把会话凭证送进俄罗斯代理
安全厂商 Socket 披露扩展 Twitch Enhanced Viewer | JeetBot 把约 3.1 万用户的 Twitch OAuth 会话令牌以明文 URL 参数转发至运营方代理服务器，并硬编码放行 10 个俄语主播频道。该令牌为账户级凭证，无需密码与二次验证即可操作账号。
Revolut 误信伪造政府邮件，交出护照、自拍与比特币交易全量记录
数字银行 Revolut 于 9 月 12 日确认数据泄露：攻击者使用政府机构官方域名下未授权邮箱提交信息调取请求，因邮件通过域名认证而获批，护照复印件、验证自拍与比特币交易记录被交出。
荷兰电信 Odido 639 万客户数据泄露：警方公开嫌疑人通话录音，黑客扬言再攻击
荷兰电信 Odido 因一起冒充 IT 人员的电话诈骗泄露 639 万客户数据，含 IBAN 与证件号。荷兰警方 9 月 7 日公开嫌疑人通话录音，ShinyHunters 承认成员身份并威胁发动新一轮数据窃取。