每日安全简讯(20250619)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 亲以色列黑客组织声称破坏伊朗最大国有银行

亲以色列黑客组织“掠食性麻雀”（Predatory Sparrow）宣称与伊朗境内协作者合作，对伊朗最大国有银行——Sepah银行发动网络攻击，导致其网站无法访问、ATM瘫痪、部分加油站无法完成支付。伊朗媒体Fararu随后证实银行遭遇网络攻击并导致服务中断。该银行在伊境内拥有1800家分支机构，并在欧洲多地设有分行。“掠食性麻雀”在社交媒体上发文称，Sepah银行为伊朗革命卫队服务，用民众资金支持导弹与核项目，长期规避国际制裁。尽管其攻击尚无法完全验证，但该组织曾多次对伊朗重要基础设施发动精准攻击，包括2022年焚毁工厂、瘫痪铁路和燃油系统。这起事件发生在伊朗与以色列军事冲突持续升级之际，引发对两国网络战的担忧。专家认为，“掠食性麻雀”虽身份成谜，但手法精密，资金充足，极可能受到国家层面支持。此外，今年3月，另一个黑客组织“解码者”也曾勒索Sepah银行4200万美元，并泄露大量客户和军方人员信息。种种迹象显示，伊朗银行体系正面临持续性网络威胁。

https://www.govinfosecurity.com/pro-israel-hacking-group-claims-to-disrupt-irans-bank-sepah-a-28721

---

2 攻击者利用Hacklink黑产平台发动SEO投毒攻击

网络安全研究机构Netcraft近日披露，一项利用“Hacklink”黑产平台发动的SEO投毒攻击正在全球范围扩散，攻击者通过入侵网站并植入隐形恶意链接，借助Google搜索引擎将钓鱼网站、假冒服务及恶意内容推至搜索结果前列，欺骗用户点击。与传统入侵不同，此类攻击并不篡改网页内容，而是悄悄向被入侵网站注入隐藏代码，使搜索引擎误判其可信度。攻击目标集中在赌博、医药与成人内容等高流量关键词，尤以土耳其的线上博彩行业为重灾区。一些攻击团伙如“Neon SEO Academy”和“SEOLink”甚至公开在Telegram上兜售服务，声称可操控超过15000个被控站点。通过Hacklink平台，攻击者可按关键词选择已被攻陷的网站并远程控制链接锚文本，以“搜索引擎优化服务”的外衣，实质进行搜索排名操纵。部分攻击者还能访问网站后台，实现持久控制。这种伪装下的恶意SEO行为，不仅损害了被利用站点的信誉，也令用户难以辨别真假链接，容易误入钓鱼或虚假支付页面。

https://hackread.com/hacklink-market-seo-poisoning-attacks-google-results/

---

3 斯堪尼亚确认保险理赔数据泄露并遭遇勒索威胁

斯堪尼亚，这家隶属于大众集团的瑞典重型卡车和发动机制造巨头，近日确认其金融服务系统遭遇网络攻击。攻击者利用被窃取的外部IT合作伙伴账户凭据入侵系统，窃取了保险理赔相关文件。事件发生于2025年5月28日至29日，黑客通过密码窃取恶意软件获得合法用户凭据，从而访问了“insurance.scania.com”这一保险业务应用。被盗文件可能包含个人敏感信息和财务医疗数据，具体受影响人数尚未明确。攻击者随后向斯堪尼亚员工发送勒索邮件，威胁公开泄露数据，并在黑客论坛发布部分数据样本。一个名为“Hensi”的威胁行为者在论坛上出售窃取的数据。受影响的保险应用已下线，斯堪尼亚已启动调查并向隐私监管机构通报了事件。公司表示此次事件影响有限，目前正积极应对中。

https://www.bleepingcomputer.com/news/security/scania-confirms-insurance-claim-data-breach-in-extortion-attempt/

---

4 基因检测公司因泄露数百万用户基因数据被英国罚款230万英镑

英国信息专员办公室（ICO）对基因检测公司23andMe处以230万英镑罚款，因其2023年发生的大规模数据泄露事件暴露了近700万用户的敏感遗传信息。调查发现23andMe存在多项安全缺陷，包括缺乏强制多因素认证（MFA）、密码安全不足、未采取有效措施防止访问和下载原始基因数据，以及未能及时监控和响应安全威胁。攻击期间，黑客通过凭证填充手法获取了约1.4万个账户访问权限，但由于用户广泛使用DNA亲属匹配功能，实际影响用户数高达690万。ICO批评23andMe对警告信号反应迟缓，延迟五个月才公开承认攻击，致使用户数据被公开出售。23andMe于2024年底才基本解决相关安全问题。今年初，23andMe已申请破产保护，监管机构正密切跟进其罚款支付事宜。加拿大隐私专员亦参与联合调查，强调跨国监管合作的重要性。23andMe买家承诺加强隐私保护，禁止未经用户同意出售基因数据，提升账户安全及数据保护机制。

https://www.theregister.com/2025/06/17/23andme_ico_fine/

---

5 英国隐私专员敦促智能空气炸锅制造商停止侵犯用户数字隐私权

英国信息专员办公室（ICO）发布新草案指导意见，警告智能空气炸锅等智能家居产品厂商不得随意收集和处理用户数据。该指导针对所有物联网设备（IoT），包括智能照明、联网冰箱和智能玩具，强调厂商必须在处理用户信息前获得明确同意，确保用户知晓数据用途并可随时撤销授权。ICO要求厂商以公平合理方式使用数据，避免超出用户预期的用途，并建议通过简洁易懂的界面设计向用户充分告知隐私政策。同时，指导中重申英国《产品和电信基础设施条例2024》中关于设备安全的规定，如独特密码、数据加密及定期安全更新。用户在购买智能设备时应慎重考虑是否需要联网功能，防止隐私泄露和被迫订阅收费服务，保持对个人数字安全的主动防护。

https://www.malwarebytes.com/blog/news/2025/06/smart-air-fryers-ordered-to-stop-invading-our-digital-privacy

---

6 Kali Linux新版本增加13款工具并强化汽车安全测试功能

Kali Linux 2025.2版本现已发布，作为本年度第二次更新，该版本带来了13款新工具，并对汽车安全测试工具集进行了重命名与功能扩展，吸引了广大网络安全从业者和红蓝队测试人员的关注。本次更新中，原先的“CAN Arsenal”重命名为“CARsenal”，更贴近其作为汽车渗透测试工具的实际用途，同时界面也更加友好，新增了如ICSim模拟器、VIN解析器等实用模块。此外，Kali菜单系统重构，对齐MITRE ATT&CK框架，极大提升了工具查找效率。GNOME更新至版本48，KDE Plasma升级至6.3，系统外观和性能同步优化。值得关注的是，此版本还引入了23项新工具，包括面向Azure环境的BloodHound数据收集器azurehound、固件分析工具binwalk3、Kerberos攻击工具rubeus、GitHub情报收集工具gitxray等，覆盖红队攻击、目录枚举、身份利用等多个维度。

https://www.bleepingcomputer.com/news/security/kali-linux-20252-released-with-13-new-tools-car-hacking-updates/

---