新闻速览
国家安全部警示：数字足迹，切莫大意
虚假信息源于生命本身？研究揭示从细菌到人类的欺骗性通信机制
中本聪消失十五年：百万枚比特币沉睡之谜
复杂Okta单点登录钓鱼攻击绕过防御，借薪资审查诱饵窃取会话令牌
德国因空管系统遭黑客攻击及虚假信息活动召见俄罗斯大使
GPT-5.2登场：OpenAI正面迎战Gemini 3 Pro
200美元的“理想工作”：伊朗黑客组织APT35内部文件泄露，揭秘运营细节与情报关联
照相亭拍照泄露隐私：Hama Film数据漏洞致多国用户信息暴露
美国政府网站遭SEO污染攻击：官方域名被篡改为色情内容入口
零售业为何成黑客“提款机”？2026年最新安全数据全梳理
特别关注
国家安全部警示：数字足迹，切莫大意
个人在使用数字设备时留下的轨迹、位置、行为等数据，构成被动或主动的“数字足迹”。这些微观信息经大数据聚合后，可绘制区域经济活力、社会运行脉络乃至敏感战略要地的宏观图景。境外势力可能借此精准识别重点单位周边人员，实施策反；分析关键基础设施人流车流，寻找安保漏洞；甚至利用人口流动数据操控舆论、煽动事件，威胁国家安全。我国已通过《网络安全法》《数据安全法》《个人信息保护法》构筑法律防线。公民应审慎授权APP权限，避免非必要开启位置服务，分享信息时禁用精确定位，并定期清理后台数据收集权限。如发现轨迹数据被非法获取或出境，应立即通过12339等渠道举报。守护数字足迹，是每个公民的责任。
https://www.secrss.com/articles/86019
热点观察
中本聪消失十五年：百万枚比特币沉睡之谜
2010年12月14日，比特币创始人中本聪（Satoshi Nakamoto）最后一次公开活动后彻底消失。其核心贡献是2008年11月1日发布的《比特币：一种点对点电子现金系统》，首次以区块链技术解决数字货币的“双重消费问题”。该方案依赖去中心化的公共账本，由网络节点共同验证交易，无需中央机构。
据估计，中本聪在比特币诞生首年挖出约110万枚BTC，按当前约9万美元单价计算，价值近990亿美元。这些币自2010年起从未移动，引发其是否已故或失联的猜测。专家指出，即便未来量子计算机发展，目前尚无能力破解比特币所用的SHA-256算法。若这些地址发生交易，不仅将暴露公钥，还可能重燃身份之谜。至今，中本聪的真实身份及其巨额持仓，仍是加密世界最引人注目的未解之谜。
https://www.securitylab.ru/news/567182.php
复杂Okta单点登录钓鱼攻击绕过防御，借薪资审查诱饵窃取会话令牌
员工期待年终绩效评估之际，一种新型复杂钓鱼攻击出现。Datadog安全实验室报告显示，该活动自2025年12月初起针对使用Microsoft 365和Okta单点登录的企业，利用薪资审查诱饵绕过防御窃取会话令牌。攻击者伪装HR或薪资服务邮件，用加密PDF附件、含目标Okta租户参数的代理钓鱼页面等手段，还通过监控浏览器流量拦截FederationRedirectUrl字段，动态重定向至伪造页面。inject.js脚本捕获凭证并劫持idx、JSESSIONID等关键会话Cookie，通过POST请求外发。攻击者用Cloudflare验证隐藏恶意站点并持续优化代码。
https://securityonline.info/sophisticated-okta-sso-phishing-bypasses-defenses-to-steal-session-tokens-with-salary-review-lures/
200美元的“理想工作”：伊朗黑客组织APT35内部文件泄露，揭秘运营细节与情报关联
2025年12月13日消息，伊朗黑客组织APT35（又称Charming Kitten）的内部文件遭泄露，新增内容涉及财务、监控系统及历史机密。文件显示，该组织分为女性团队Aqiq和男性团队Pelak1，2025年4-5月部分成员月薪仅150-220美元，部分金额极低或与参与状态有关。此外，还曝光了KSIR旗下监控系统“Кашеф”的界面，其整合多部门数据，可查询境外活动、双重国籍等信息，含宗教信仰分类。另有2004年伊朗情报部文件显示，该组织曾获取IAEA关于重水项目的机密资料，涉及关键人物Olli Heinonen。此次泄露揭示了该APT组织的运营细节及与伊朗情报活动的关联。
https://www.securitylab.ru/news/567159.php
虚假信息源于生命本身？研究揭示从细菌到人类的欺骗性通信机制
发表于Interface期刊的一项研究提出，虚假信号并非通信系统的偶发故障，而是生物通信中几乎不可避免的结果。研究团队系统分析了数十年来关于信息传播的理论与实证工作，发现从细菌、鸟类到人类社会，错误或误导性信息普遍存在。
社会通信有助于生存，例如预警风险或协调群体行为，但同一机制也会传播不真实信号，如鸟类发出虚假警报、动物沿用过时的迁徙路径，甚至细菌之间也存在误导性化学信号。
为解决跨物种比较困难的问题，研究人员提出通用数学模型，用于量化个体“认知”与现实的偏差，以及社会信息对其影响程度。模型结果表明，社会性传播的虚假信息应被视为生态与进化中的常态。未来研究将探索其对群体生存的影响，以及是否存在可用于人类网络空间治理的通用控制规律。
https://www.securitylab.ru/news/567183.php
零售业为何成黑客“提款机”？2026年最新安全数据全梳理
Shopify于2025年12月12日发布统计指出，零售业因云工具、POS与多渠道系统叠加，Attack surface持续扩大，Phishing、Ransomware与第三方漏洞正从大企业蔓延至中小商家。关键数据包括：全球平均数据泄露成本为$4.44M，美国组织在2025年平均达$10.22M；FBI IC3披露2024年网络犯罪损失$16B，同比较2023年的$12.5B增长33%。在泄露内容上，46%的事件涉及客户PII（姓名、邮箱、支付信息、购买记录）。
RH-ISAC统计显示，零售安全事件2023年725起升至2024年837起，确认泄露由369起增至419起。文章建议以“分层防御”为主线：为后台与云平台强制MFA，配置IP allowlists与role-based access，定期权限复核与补丁更新，并加强第三方供应链风险管理。
https://www.shopify.com/hk-en/enterprise/blog/retail-cybersecurity
安全事件
德国因空管系统遭黑客攻击及虚假信息活动召见俄罗斯大使
德国就俄涉嫌对其空管系统发起网络攻击及开展选举前虚假信息活动一事召见俄大使。德方宣布掌握明确证据，2024年8月针对德国空管机构Deutsche Flugsicherung的攻击与俄关联APT组织APT28（即“奇幻熊”）有关，俄军方情报机构GRU对此负责。此外，德方指认俄通过“Storm 1516”虚假信息活动试图影响并破坏德国联邦选举，该组织自2023年起活跃，曾针对乌克兰及美欧多国选举。德方称俄混合威胁加剧，正联合欧盟伙伴准备反制措施，俄驻德使馆尚未回应且此前否认类似指控。
https://securityaffairs.com/185650/apt/germany-calls-in-russian-ambassador-over-air-traffic-control-hack-claims.html
美国政府网站遭SEO污染攻击：官方域名被篡改为色情内容入口
2025年12月，美国多州及地方政府的.gov域名遭遇大规模SEO污染攻击。攻击者未直接入侵服务器，而是利用政府网站公开的文件上传表单，上传含恶意链接的PDF等文件。这些文件被Google索引后，用户点击官方域名链接会跳转至色情广告、AI成人内容生成器等不良页面。截至12月14日，已有38个.gov域名（涉及18个州）受影响，包括内布拉斯加州、夏威夷州、加州等政府机构。研究人员Dominic Alvieri指出，攻击利用了政府平台文件上传功能的公开性缺陷，文件默认对外可访问且被搜索引擎收录。托管约5500个政府网站的Granicus公司已调整设置，禁止上传文件默认公开，但事件暴露了政府网站在内容发布与索引管控上的漏洞。
https://www.securitylab.ru/news/567187.php
照相亭拍照泄露隐私：Hama Film数据漏洞致多国用户信息暴露
2025年12月13日消息，安装于多国的Hama Film公司照相亭存在数据泄露风险。该公司隶属于Vibecast，业务覆盖美国、澳大利亚和阿联酋。安全研究员Zeacer于10月向Hama Film报告其服务器存在漏洞，可无需授权访问用户照片和视频，但未获回应。11月，他向TechCrunch提供了从服务器获取的示例数据，其中包含墨尔本等地照相亭用户的上千张照片。据悉，照相亭会自动将照片上传至在线存储，原存储周期为2-3周，现虽缩短至1天，但漏洞仍未完全修复。Vibecast及其联合创始人Иоиль Пак均未回应相关问询。
https://www.securitylab.ru/news/567167.php
新品发布
GPT-5.2登场：OpenAI正面迎战Gemini 3 Pro
OpenAI在宣布与Disney达成重磅合作的同日，正式发布旗舰模型GPT-5.2，直指Google的Gemini 3 Pro。相较此前因表现平淡而饱受争议的GPT-5，GPT-5.2被定位为面向真实专业场景的核心升级版本。
GPT-5.2采用分层策略，推出Instant、Thinking和Pro三种形态。其中，GPT-5.2 Thinking主打深度推理，在不依赖外部工具的情况下，于AIME 2025数学基准中取得100%成绩，ARC-AGI-1抽象推理测试较GPT-5.1提升超10%，事实性错误下降30%，显著增强科研与高风险决策的可靠性。Instant版本则优化信息检索、技术写作与翻译，并提升响应速度。
该发布正值OpenAI竞争压力加剧之际。此前Gemini 3 Pro登顶LMArena排行榜，迫使OpenAI加速回归“生产力优先”的模型路线，以支撑商业化与算力投入，同时继续推进其AGI长期愿景。
https://securityonline.info/openai-fights-back-gpt-5-2-unveiled-to-rival-googles-gemini-3-pro/
热门跟贴