Ghim khớp với user:CyberDesk

Kẻ tấn công sao chép dữ liệu bệnh nhân từ các máy chủ di chuyển dữ liệu Cerner cũ mà Oracle Health chưa chuyển sang Oracle Cloud, và các bệnh viện Hoa Kỳ sau đó bị tống tiền vì dữ liệu này.

Bản tin bảo mật tháng 6 năm 2025 của Qualcomm đã sửa ba lỗi trong trình điều khiển GPU Adreno mà Nhóm Phân tích Mối đe dọa của Google cho biết có thể đang bị khai thác có giới hạn, có chủ đích; CISA yêu cầu các cơ quan Hoa Kỳ vá trước ngày 24 tháng 6.

Các nhà nghiên cứu mối đe dọa của Google cho biết một nhóm giả danh bộ phận hỗ trợ CNTT qua điện thoại đã thuyết phục nhân viên chấp thuận một ứng dụng Data Loader giả, rồi đánh cắp hàng loạt dữ liệu Salesforce của các công ty để tống tiền.

Một thẩm phán liên bang tại Las Vegas đã phê duyệt cuối cùng thỏa thuận dàn xếp 45 triệu USD của MGM Resorts với những khách hàng bị đánh cắp dữ liệu cá nhân trong vụ rò rỉ năm 2019 và vụ tấn công mạng tháng 9 năm 2023 khiến các sòng bạc trên Strip phải ngừng hoạt động, với mức bồi thường tối đa 15,000 USD mỗi người cho các khoản thiệt hại có chứng từ.

Dùng các token OAuth bị đánh cắp từ chatbot Drift của Salesloft, nhóm UNC6395 đã xuất dữ liệu từ các hệ thống Salesforce của hàng trăm công ty, lùng sục các yêu cầu hỗ trợ để tìm khóa AWS, mật khẩu và token Snowflake.

FBI công bố các chỉ báo về hai nhóm đánh cắp dữ liệu Salesforce của các công ty, một nhóm gọi điện cho nhân viên giả danh bộ phận hỗ trợ CNTT, nhóm kia dùng token Salesloft Drift bị đánh cắp.

Một nhóm sử dụng thương hiệu tống tiền Cl0p bắt đầu gửi email hàng loạt cho các giám đốc điều hành, nói rằng đã đánh cắp dữ liệu từ hệ thống Oracle E-Business Suite của công ty họ và đòi tiền.

Băng nhóm này đăng các mẫu dữ liệu Salesforce bị đánh cắp của 39 công ty và yêu cầu Salesforce trả tiền trước ngày 10 tháng 10, nếu không khoảng một tỷ bản ghi sẽ bị rò rỉ.

Cảnh báo Bảo mật ngoài chu kỳ của Oracle đã sửa một lỗi thực thi mã từ xa không cần đăng nhập, xếp hạng 9.8, trong E-Business Suite mà Cl0p đã khai thác để đánh cắp dữ liệu.

CISA đưa CVE-2025-61882 vào danh sách Các Lỗ hổng Đã bị Khai thác, cho các cơ quan dân sự liên bang thời hạn đến ngày 27 tháng 10 năm 2025 để sửa Oracle E-Business Suite.

Khi hạn chót rò rỉ của băng nhóm còn ba ngày, Salesforce gửi email cho khách hàng rằng sẽ không tham gia, thương lượng hay trả bất kỳ yêu sách tống tiền nào.

Khi hạn chót đòi tiền chuộc qua đi, Scattered Lapsus$ Hunters công bố dữ liệu Salesforce bị đánh cắp của sáu công ty, gồm 5 triệu bản ghi khách hàng Qantas và 7.3 triệu địa chỉ email của Vietnam Airlines.

Salesforce thu hồi mọi token do các ứng dụng do Gainsight phát hành nắm giữ và gỡ chúng khỏi AppExchange sau khi phát hiện các lệnh gọi API từ những IP không nhận diện được vào dữ liệu Salesforce của khách hàng.

Nhóm tống tiền WorldLeaks liệt kê Nike trên trang rò rỉ của mình vào ngày 22 tháng 1 năm 2026 rồi tung ra khoảng 1.4TB dữ liệu mà nhóm nói là 188,347 tệp thiết kế và sản xuất nội bộ của Nike; Nike chỉ cho biết đang điều tra một sự cố an ninh mạng có thể xảy ra.

Nike bắt đầu gửi thông báo xâm nhập vào ngày 25 tháng 2 năm 2026 về một vụ xâm nhập, được phát hiện ngày 21 tháng 1, vào một cổng thông tin do nhà cung cấp dịch vụ bên thứ ba lưu trữ, làm lộ thông tin liên hệ, đơn hàng và thẻ thanh toán của khách hàng; Nike cho biết không có chi tiết thẻ đầy đủ hay thông tin đăng nhập tài khoản nào bị lấy.

Qualcomm và Google đã công bố một lỗi hỏng bộ nhớ trong một thành phần đồ họa mã nguồn mở của Qualcomm, ảnh hưởng hơn 230 chipset, 'có thể đang bị khai thác có giới hạn, có chủ đích'.

Salesforce cho biết một nhóm đe dọa đã biết đang quét hàng loạt các trang Experience Cloud công khai bằng một công cụ Mandiant đã sửa đổi và lấy dữ liệu CRM qua các hồ sơ người dùng khách quá dễ dãi.

Cảnh báo Bảo mật của Oracle cho CVE-2026-35273, một lỗi thực thi mã từ xa không cần đăng nhập, xếp hạng 9.8, trong PeopleSoft PeopleTools, được đưa ra khi ShinyHunters đánh cắp dữ liệu từ hơn 100 tổ chức, chủ yếu là các trường đại học.

Black Hat USA đã thu hút hơn 23,000 người tham dự đến Trung tâm Hội nghị Mandalay Bay từ ngày 1 đến 6 tháng 8 năm 2026, với hơn 100 buổi thuyết trình, hơn 100 khóa đào tạo và hơn 400 nhà trưng bày trong Business Hall.

DEF CON 34 kín khách tại Sảnh Tây của Trung tâm Hội nghị Las Vegas từ ngày 6 đến ngày 9 tháng 8 năm 2026, tặng người tham dự một huy hiệu điện tử xây dựng quanh con chip Baochip mã nguồn mở, có thể kiểm tra được của Andrew "bunnie" Huang.

Amazon bổ nhiệm chuyên gia kỳ cựu về an ninh mạng Kevin Mandia, người sáng lập Mandiant và đã bán công ty này cho Google với giá $5.4 tỷ, vào hội đồng quản trị cùng Ủy ban Kiểm toán và Ủy ban An ninh.

Bản cập nhật bảo mật lớn nhất từ trước đến nay của Microsoft vá 966 lỗ hổng, trong đó có hai lỗ hổng zero-day leo thang đặc quyền trên Windows đã bị khai thác trong các cuộc tấn công và 105 lỗ hổng được xếp loại Critical.

Công ty xác minh danh tính IDScan.net có trụ sở ở Louisiana xác nhận tin tặc đã lấy dữ liệu giấy phép lái xe từ đám mây của mình - họ tên đầy đủ, số giấy phép và số định danh từ các giấy tờ chính phủ khác - của hơn 150 triệu người ở Hoa Kỳ và Canada. Dữ liệu, bao gồm cả ảnh giấy phép, được đăng lên một trang web dark web.

Đạo luật Khả năng Phục hồi An ninh mạng (Cyber Resilience Act) của EU bước vào giai đoạn có hiệu lực đầu tiên: các nhà sản xuất bất kỳ sản phẩm có yếu tố số nào được bán ở EU phải báo cáo các lỗ hổng đang bị khai thác tích cực và các sự cố nghiêm trọng cho ENISA và CSIRT quốc gia của mình - cảnh báo sớm trong vòng 24 giờ, thông báo đầy đủ trong vòng 72 giờ và báo cáo cuối cùng trong vòng 14 ngày.

Gói sửa lỗi bảo mật hằng quý của Oracle cho các sản phẩm cài đặt tại chỗ dự kiến ra mắt vào thứ Ba thứ ba của tháng 10.

DEF CON 35 được ấn định vào ngày 5-8 tháng 8 năm 2027 tại Sảnh Tây của Trung tâm Hội nghị Las Vegas, nơi DEF CON 34 đã được tổ chức vào năm 2026.

Chương trình Cập nhật Bảo mật Mở rộng (ESU) dành cho người dùng cá nhân của Microsoft cho Windows 10 22H2 đưa ra các bản vá bảo mật cuối cùng. Một máy tính Windows 10 gia đình vẫn hoạt động sau ngày này nhưng không còn nhận bản sửa lỗi bảo mật nào, và ngày 12 tháng 10 năm 2027 cũng là ngày cuối cùng bất kỳ ai có thể đăng ký.

Mọi nghĩa vụ mà Đạo luật Khả năng Phục hồi An ninh mạng đặt ra có hiệu lực: các sản phẩm có yếu tố số chỉ được đưa ra thị trường EU nếu đáp ứng các yêu cầu an ninh mạng thiết yếu của Đạo luật, có đánh giá sự phù hợp và được hỗ trợ cập nhật bảo mật trong thời gian hỗ trợ đã công bố.