2026年7月17日至23日数据泄露事件汇总
本周数据泄露汇总：EY因支持系统被黑披露客户税务数据风险；Abbott面临两起网络事件，涉及3000万癌症诊断患者个人信息及SSN；Hugging Face确认内部数据集和凭证被盗，建议用户轮换密钥；AI音乐平台Suno疑似泄露5500万用户数据；Chick-fil-A遭撞库攻击，会员及支付信息受损；韩国外交部外交官数据遭窃。涵盖医疗、金融、科技及政府领域，需关注凭证轮换与第三方供应链安全。 
评论
点赞
收藏macOS 漏洞：攻击者可无声替换任意应用为恶意代码
研究人员发现 macOS 存在严重漏洞，攻击者可在无需提权或用户密码的情况下，利用 tar 归档特性替换已安装应用为恶意版本。该漏洞仅影响从网页安装的应用，App Store 应用不受影响。恶意应用运行时显示真实系统权限请求弹窗，诱导用户授权，但无法继承原有 Keychain 数据。Apple 已拒绝修复此问题。 
Gemini 允许攻击者绕过 Android 锁屏
Google Gemini AI助手在Android锁屏界面存在严重安全漏洞。攻击者利用物理接触，可通过特定操作绕过PIN码验证，直接发送短信、访问WhatsApp甚至修改Google账户和安全设置。尽管Google称已修复部分问题，但研究人员指出2026年仍有未修补的深层风险，特别是“Deep Research”功能可被用于持久化后门。建议用户最小化锁屏可访问的应用权限以降低攻击面。 
苹果在一年后终于修复了“隐藏我的电子邮件”功能的漏洞
Apple 修复了 Hide My Email 服务中一个存在已久的漏洞，该漏洞允许攻击者通过邮件被拒收等机制推断出用户的真实邮箱地址。安全研究员早在一年多前就向苹果报告了此问题，但修复延迟至今。目前苹果正面临相关的集体诉讼。建议受影响用户使用新的别名，并注意苹果计划将域名从 @icloud.com 变更为 @private.icloud.com，这可能使新别名更容易被网站屏蔽。 
存储在 SVG 图片中的恶意代码被用于攻击开发者机器
朝鲜黑客利用虚假面试，向开发者发送包含恶意代码的 SVG 图片进行攻击。恶意代码隐藏在看似正常的国旗图片中，通过 JavaScript 重组并自动运行，窃取浏览器凭证、加密货币钱包及文件。该手法能有效绕过常规扫描，提醒开发者警惕未请求的代码测试，运行前需检查启动文件和动态执行逻辑。 
数据泄露周报（2026年7月10日-16日）
Privacy Guides 发布的 2026 年 7 月 10 日至 16 日数据泄露汇总。本期主要报道德国连锁超市 Lidl 因服务提供商遭黑客攻击，导致其在德国、比利时和荷兰的在线商店客户个人信息（姓名、电话、邮箱、生日等）泄露。此类周报性质的聚合信息缺乏独家深度或技术细节，对普通消费者有警示作用，但对科技读者的互动价值有限。 
Meta AI眼镜新功能：无需指示灯即可激活摄像头
Meta下一代AI眼镜将允许在指示灯不亮的情况下激活摄像头进行AI分析。此举旨在支持持续环境感知功能，但引发了严重的隐私担忧，因为路人无法察觉被拍摄。此前Meta已打击用户物理遮挡指示灯的行为，如今官方主动关闭指示灯反而加剧了信任危机。
OpenAI 的 AI 浏览器 Atlas 上线不到一年即停服
OpenAI 宣布下线独立 AI 浏览器 Atlas，主要因安全漏洞频发及架构问题。Trail of Bits 指出 Agentic 浏览器重现了 XSS/CSRF 等旧漏洞，且 OpenAI 无法实现真正的端到端加密。替代方案为整合进 ChatGPT App 的新云浏览器，但这意味着更多数据将暴露给 OpenAI 服务器。这对关注隐私和 Agent 安全机制的技术读者极具讨论价值。
2026年7月3日至9日数据泄露周报
本周五大数据泄露事件汇总：Accenture确认被黑，黑客出售源代码；AssuranceAmerica近700万驾照信息泄露；Mount Royal大学10TB数据被盗；Nextcloud因配置错误暴露36.7万客户文件；日本KDDI电信巨头1200万用户密码泄露。
苹果修复应用隐私漏洞，其余多数暂时无解
iOS 27 Developer Beta 3 修复了应用指纹识别问题，让应用更难追踪用户。虽然只解决了一个具体问题，且指出更多隐私漏洞暂未处理，但对关注苹果隐私机制的技术用户仍有参考价值。
潜伏15年的Linux内核漏洞可导致系统被完全接管
Nebula Security 发现 Linux 内核存在长达 15 年的提权漏洞，可导致完全接管系统，影响所有低于 7.1 版本的发行版。这是一个典型的“沉睡”高危漏洞，涉及底层安全机制，极易引发关于内核维护和历史代码债务的讨论。
谷歌与 FBI 联手关闭潜伏于数百万智能设备的恶意住宅代理网络
Google、Lumen 与 FBI 联合摧毁了名为 NetNut（又称 Popa）的大型恶意住宅代理网络。该网络潜伏在数百万智能设备中，被用于非法流量劫持。此次行动展示了跨国执法与技术巨头合作打击基础设施级网络犯罪的最新进展。
新型钓鱼技术：通过合法微软登录页窃取账户令牌
卡巴斯基发现攻击者利用一种新型钓鱼技术，通过合法的微软登录页面窃取账户令牌。 这种方法允许攻击者在用户不知情的情况下获取访问权限，对用户账户安全构成直接威胁。
数据泄露汇总（6月26日-7月2日）
ShinyHunters黑客组织在最新一轮数据泄露中持续活跃。 这是常规的泄露事件汇总，缺乏具体细节或独特视角。
首起完全由Agentic AI执行的勒索软件攻击被发现
Sysdig威胁研究团队发现，他们认为这是有史以来首次由代理型人工智能完全端到端实施的勒索软件攻击。 
Brave浏览器新增容器功能以隔离浏览身份
Brave浏览器发布了新的容器功能，允许用户在不同身份间隔离浏览数据。 对于注重隐私的技术用户来说，这是一个实用的功能更新，值得关注。
谷歌拟用手部扫描技术升级 reCAPTCHA 验证
Google 计划在其 reCAPTCHA 服务中引入手部扫描功能，要求用户授权摄像头权限，通过识别不同姿势的手部图像来验证人类身份。 这一举措旨在提升人机验证的安全性，但也引发了关于生物特征数据隐私和监控边界的广泛争议。 
Apple AirDrop与Android Quick Share发现多个漏洞
研究人员在Apple AirDrop和Android Quick Share中发现六个漏洞，部分为零点击攻击。这意味着用户可能在不知情的情况下被利用。 该发现涉及两大主流传输协议，对隐私和安全有直接影响。 
Fake GTA 6 Crypto Scams Drain Wallets and Install Malware
Fake GTA 6 "early access" sites promise access to the game if you pay hundreds in cryptocurrency, but offer only malware instead. 
Framingham市因公众反对取消Flock安全摄像头合同
马萨诸塞州Framingham市因隐私担忧引发的公众反对，取消了与Flock Safety摄像头的合同。 展示了公众舆论对监控技术的制约，具有社会意义。 
数据泄露汇总（6月19-25日）
本周LastPass、Polymarket、Meta及一家AI医疗公司遭遇数据泄露。文章列举了主要受影响的企业。 属于常规的新闻汇总，缺乏深度分析或独家细节。
DOJ Stopped From Requiring Apple and Google to Hand Over the Data of 100,000 People
A court has determined that the US DOJ cannot force Apple and Google to hand over the information of around 100,000 users of the EZ Lynk app.