每日安全简讯(20260115)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 黑客利用BitB技术窃取Facebook用户凭证

研究人员发现网络犯罪分子正利用浏览器套浏览器（BitB）技术发起钓鱼攻击，目标直指Facebook超30亿用户的登录凭证。攻击以钓鱼邮件为起点，通过伪造律师事务所版权侵权警告、未授权登录通知等内容制造恐慌，诱导用户点击伪装成Facebook链接的虚假短链接。点击后会弹出高度仿真的登录弹窗，内含硬编码的真实Facebook登录URL及前置虚假验证码窗口，利用视觉欺骗让用户难辨真伪，进而诱骗填写姓名、邮箱等个人信息及密码。攻击者意图通过接管账号窃取数据、实施身份诈骗或向用户联系人扩散诈骗信息。

https://www.infosecurity-magazine.com/news/phishing-scams-exploit-browser/

---

2 攻击者可利用《Apex英雄》游戏漏洞远程控制其他玩家操作

热门战术竞技游戏《Apex英雄》被曝存在严重安全漏洞，攻击者可远程劫持并控制其他玩家的游戏内输入操作。该漏洞使黑客能在玩家不知情的情况下，完全操控其角色移动、武器使用及战术技能，直接破坏游戏公平性与玩家操控权，属于竞技游戏领域新型攻击向量。开发商Respawn Entertainment确认漏洞仅作用于输入处理层面，不涉及远程代码执行或系统入侵，未引发更严重的设备安全风险。目前开发团队正开展深度取证分析，排查受影响玩家并明确事件范围，承诺及时更新修复进展，同时呼吁玩家发现异常输入操控时通过官方渠道举报。

https://cyberpress.org/apex-legends-remote-input-control-exploit/

---

3 微软2026年首次安全更新修复其产品及底层系统的112个漏洞

微软发布2026年首次补丁星期二更新，修复涉及旗下产品及底层系统的112个漏洞，其中含1个已被在野利用的零日漏洞（CVE-2026-20805）。该漏洞位于桌面窗口管理器（Desktop Window Manager），属于信息泄露类缺陷（CVSS评分5.5），攻击者可利用其泄露敏感内存信息，削弱系统防御并助力其他漏洞利用，提升多阶段攻击成功率，可能导致权限提升或数据窃取。美国CISA已将其纳入已知利用漏洞目录，专家指出该漏洞利用需攻击者获取本地权限，且这是该组件信息泄露漏洞首次被在野利用。

https://cyberscoop.com/microsoft-patch-tuesday-january-2026/

---

4 西班牙能源巨头Endesa遭网络攻击导致客户数据泄露

西班牙能源巨头Endesa披露遭网络攻击，其数百万客户中的部分个人数据已被泄露，但公司明确排除了信息被欺诈性使用的可能。攻击者非法获取了客户能源合同相关数据、联系方式、身份证号及支付方式等信息，不过客户登录密码未受影响。Endesa表示其安全协议已迅速且妥善地控制并缓解了该事件，目前无数据遭欺诈使用的记录，暂未披露攻击具体发生时间及受影响客户数量（该公司在西班牙和葡萄牙拥有超1000万客户）。目前公司正展开全面调查，并已向包括西班牙数据保护机构在内的相关部门通报此次泄露事件。

https://www.barrons.com/news/hack-hits-spanish-energy-giant-endesa-s-client-data-419ba37d

---

5 黑客宣称窃取Target内部源代码和开发者文档

2026年1月13日更新消息显示，多名塔吉特（Target）员工确认泄露源代码样本集的真实性，并分享了有关访问权限变更的内部通知。此前，未知威胁者在Gitea平台发布疑似塔吉特内部代码仓库样本，称更大规模数据集（约860GB）将在暗网拍卖，样本含支付服务、礼品卡等相关代码及内部服务器、工程师信息。塔吉特被问询后，相关仓库被移除，其开发服务器git.target.com对外下线。虽未独立验证完整数据集，但样本的目录结构、内部引用等特征符合企业私有开发环境。塔吉特暂未进一步置评，其曾在2013年发生重大数据泄露，影响1.1亿客户。

https://www.bleepingcomputer.com/news/security/targets-dev-server-offline-after-hackers-claim-to-steal-source-code/

---

6 Telegram因代理链接可一键泄露IP地址新增警告提示

Telegram宣布将为代理链接新增警告提示，此前有报告显示该类链接可通过单次点击泄露用户IP地址，绕过VPN或隐私设置。该漏洞由研究人员@0x6rss首次曝光并经专家确认，影响安卓及iOS用户。黑客可将“tg://proxy”代理链接伪装成普通用户名（如@durov），用户点击时，Telegram会通过手机直接网络连接自动向服务器发送探测请求，完全忽略隐私设置，导致真实IP地址（含所在城市、服务商等位置信息）被获取。Telegram称此为互联网链接正常机制，但将添加弹窗警告。

https://hackread.com/telegram-add-warning-proxy-links-ip-leak/

---