账户接管 - 卫方智能网络安全资讯平台

ASOS 数据泄露：员工账号遭社工窃取，攻击者借官方 App 推送勒索

2026年10月9日作者卫方智能

英国时尚电商 ASOS 于 10 月 8 日确认数据泄露：攻击者冒充可信联系人骗取员工登录账号，再访问其第三方平台窃取客户姓名、联系方式与购物搜索历史；攻击者还借官方 App 推送发布勒索信息。

2026年10月6日作者卫方智能

开源身份提供商 ZITADEL 于 10 月 4 日协调披露 10 个认证绕过漏洞，其中 7 个为严重级。攻击者可在未通过主因素验证的情况下预劫持账户、跨组织注册密钥、绕过 MFA，3.x 分支已停止安全支持。

2026年10月4日作者卫方智能

微软官方 X 账号（1300 万粉丝）被劫持约 30 分钟，攻击者更换头像、转发 Clippy 主题账号并按点赞承诺炒作 $Clippy 代币，微软确认未授权访问并称将继续调查。

2026年10月1日作者卫方智能

VUSec 与圣安娜高等研究学院披露 Spectre-v2 新变种 Branch Target Reuse，绕过现有缓解措施，在已全量修补的 Intel Linux 系统上 3 至 5 分钟取出 root 口令哈希。

2026年9月27日作者卫方智能

Elementor Website Builder 4.3.0 与 4.3.1 存在 CSRF 漏洞，CVSS 8.8，已登录管理员点击一个链接即可被诱导执行任意 REST API 操作，默认安装下会为攻击者新建管理员账号。受影响版本安装量超 200 万，修复版本 4.3.2。

2026年9月21日作者卫方智能

安全厂商 Hacktron 三名研究员借助 Claude Opus 5，在不到 72 小时内把 OpenAI 社区论坛的图像解码漏洞串联成完整攻击链，经 SSO 缺陷接管员工 ChatGPT 与 Codex 账户并触达内部仓库，OpenAI 已修复并支付 6500 美元赏金。

2026年9月11日作者卫方智能

韩国平台 Weverse 披露 422,584 个账号关联的机密信息泄露，涉及购买类型、支付方式、金额与退款时间等交易字段，疑似支付信息处理 API 访问控制缺陷。公司已向 KISA 提交事件报告并加固接口。

2026年9月11日作者卫方智能

安全机构 Calif 披露首个可跨 Android 与 iOS 传播的微信零点击蠕虫 WeWorm：利用微信 VoIP 协议栈内存破坏漏洞，来电响铃阶段即可接管账号并链式扩散。腾讯已服务端全量修复，无在野利用。

2026年9月11日作者卫方智能

ShinyHunters 将佛罗里达州公路安全与机动车辆管理局列入暗网泄露站点，声称利用密码重置缺陷入侵执法人员专用数据库 DAVID，窃取超 20 万条驾照与车辆记录，并设 9 月 11 日谈判期限。官方尚未确认。

2026年9月4日作者卫方智能

Dropbox 通知约 5000 名用户其账户在 8 月 4 日至 21 日间遭未授权访问，攻击者利用联想邮箱验证流程缺陷注册虚假 Lenovo ID，无需密码即可登录对应 Dropbox 账户，联合身份信任链缺陷再度敲响警钟。

2026年8月31日作者卫方智能

AVideo 直播重推流端点 token 校验失效且加密使用 AES-256-CBC 固定 IV 无 MAC，攻击者借助公开加密预言机即可伪造 token 任意读取推流密钥，CVSS 4.0 9.2 严重等级。

2026年8月27日作者卫方智能

Red Hat 与开源 Keycloak 项目同步修复了一处位于密码重置流程的关键认证绕过漏洞，编号 CVE-2026-18963，CVSS v3.1 评分 9.1（Critical）。该漏洞位于 keycloak-services 组件的 ResetCredentialEmail.action(