Facebook和Cambridge Analytica引起了Spectre和Meltdown恐慌，假新闻只是2018年事件冰山的一角。 去年对于信息安全专业人员和许多不得不急着输入密码的用户来说非常热。 我们在Binary District编制了一系列精选的12种揭示2018年发生的黑客，黑客和数据泄漏的信息。
名单上有关于该漏洞的故事，这些漏洞带来了Google+，过于健谈的Alexa，诡异的耳机，粗心的巴西管理员，Facebook漏洞的协同作用以及前所未有的DDoS。
四次黑客攻击
只是空间，或如何亏损1300万美元
怎么了 2018年8月，黑客在7个小时内通过自动取款机用
印度大波斯菊银行的账户进行了超过15,000次非法交易，第二天通过SWIFT系统进行了多次大笔转账。
是什么原因 在操作的第一阶段，由于发行人之一的系统中存在未知漏洞，因此使用了许多克隆的银行卡。 在他们的帮助下，黑客的同伙正在从自动柜员机提取现金。 在第二阶段中，可能使用了新版本的DYEPACK恶意软件，它使您可以绕过银行网络中的转移授权，并隐藏有关其实施的报告。
出于调查目的，没有透露详细信息，但此次攻击与专门从事SWIFT黑客攻击的朝鲜黑客组织APT38有关。
有什么后果。 大同银行的损失约为1300万美元，其中两笔在其中一家香港银行的帐户中，其余的则存放在“钱mu子”手中。 SWIFT与黑客之间的军备竞赛仍在继续，到2019年，我们很可能会收到有关对银行进行攻击的新消息。
Facebook的运气不好
怎么了 关于美国大选的丑闻尚未缓解，因为在2018年9月，人们知道黑客设法获得了数百万Facebook用户数据的访问权。
是什么原因 如果
不是因为视频下载器中
的错误组合而导致黑客入侵，那么该视频下载器将使用Single Sign-On技术和“ See How”功能。 在他们的帮助下，黑客大量收集了移动应用程序生成的令牌，因此，在使用社交网络模块加载网页时，无需再次登录。
有什么后果。 黑客已经收到约3000万个帐户的信息。 电话号码和电子邮件地址泄漏，配置文件中指定的数据，用户从中进入社交网络的设备类型的数据，最后10个标记的位置和15个搜索查询。
令牌可用于访问通过Facebook授权的任何网络资源。 联邦调查局没有透露调查的细节，但是从现有信息来看，黑客没有设法实现他们的计划。 发现入侵后，该漏洞已关闭，Facebook团队为受影响的用户删除了授权令牌（另外还有6000万个令牌）。
大欺诈
怎么了 发现了带有在线广告的最大，最复杂的欺诈方案之一，其中包括10,000个虚假域的网络和一个控制超过一百万个IP地址的僵尸网络。 机器人在鼎盛时期每天产生超过30亿次广告展示。
是什么原因 为了创建僵尸网络，黑客使用了Miuref和Boaxxe木马，针对BGP的攻击-边界网关协议以及带有嵌入式书签的移动应用程序。 他们开发
了几种针对广告网络
的攻击媒介，并根据Google专家的发现对其进行了更改。 此外，漫游器还成功模仿人类行为，模拟了鼠标移动和随机点击。
有什么后果。 已经发现黑客，他们已被
正式指控 ，但尚未评估广告行业的财务损失。
Google鼓励注意广告网络可能存在的潜在滥用漏洞，并鼓励创建和采用ads.txt等行业标准。 该公司从参与此计划的Google Play应用程序中删除了使用点击注入和/或点击泛洪机制的应用程序，其中包括最受欢迎的第三方键盘之一-安装了200,000台的Kika Keyboard。
Reddit被黑
怎么了 2018年6月，黑客入侵了该网站员工的帐户，并获得了一些未命名系统，Reddit源代码，文档，部分用户电子邮件地址和旧备份的访问权限。
是什么原因 管理员通过SMS使用了两因素身份验证系统进行授权。 攻击是通过截取确认码来进行的。 黑客可能会复制SIM卡，欺骗电信运营商的员工并重新发行卡或攻击过时的SS7协议。
有什么后果。 访问该网站的源代码可能会引起新的攻击。
Reddit宣布修订内部信息安全规则并过渡到2FA令牌，该令牌会定期生成新的确认代码。 受影响的用户收到了通知，但是我们再次确信
SMS身份验证的
不完善 。
三个烦人的法卡帕
Apache巴西人
怎么了 可免费获得1.2亿巴西纳税人的
身份证号码 （TIN
号码） （约占该国人口的57％）以及个人信息：地址，电话号码，贷款数据等。
是什么原因 配置错误的Apache HTTP Server，其管理员将标准index.html重命名为index.html_bkp。 事件的罪魁祸首仍然未知。 他可能只是没有意识到自己激活了目录中所有文件的目录列表。
有什么后果。 开设银行帐户，获取贷款和注册法人机构均需提供巴西的税务标识号。 一点社会工程学-这样的数据变成轻松赚钱。 该基地很可能很快就会在Darknet上可用。
森海塞尔认证
怎么了 几年前，Sennheiser HeadSetup和HeadSetup Pro（用于通过网络拨打电话的软件）的开发人员走上了与戴尔和联想相同的局面。 他们使用了不安全的根证书。
是什么原因 与HeadSetup一起，在计算机上安装了几个根证书。 私钥保存在SennComCCKey.pem文件中，可从中
轻松提取私钥。 因此，攻击者可以使用它们来伪造证书，合法站点等。
有什么后果。 Sennheiser
已发布了其程序的更新 ，但过去安装了HeadSetup 7.3、7.4和8.0版的所有系统仍然容易受到中间人之类的攻击。 可以更新或删除程序，但是要想摆脱证书本身（有效期至2027年和2037年）并不是那么简单。 它们保留在Trust Store操作系统中，需要手动删除。
Alexa会告诉你关于你的一切
怎么了 亚马逊根据GDPR的要求，向错误的人发送了1,700封智能录音。 听了他们的话，就可以识别出所有者和他的家庭，找出住址和许多细节，例如音乐喜好。
是什么原因 一位
与Business Insider记者交谈的公司代表将这描述为一个孤立的案例，并提及人为因素。
但是类似的情况并不少见。 因此，在美国生效的旨在提高官员工作透明度的“信息自由传播法”的框架内，每个人都可以向政府机构索取某些数据。 为了响应这样的请求，西雅图市政厅以及3,200万个字母的元数据，
从每条消息中向互联网激进主义者Matt Chapman
发送了256个首字符 。 其中包括用户名和密码，信用卡号，社会保险卡和驾驶执照，警察报告，联邦调查局调查数据以及其他机密信息。 瑞典政府
不小心泄露了证人保护计划参与者和一些执法人员
的个人数据 。
有什么后果。 与上述案例相比，亚马逊事件相对无害。 但是，它使您考虑将智能设备（尤其是那些可以收听的设备）带入房屋是否值得，以及GDPR对已经获得您帐户访问权限的黑客的有用性。
几个（几乎）导致服务中断的漏洞
微软致命弱点
怎么了 一位SafetyDetective员工
发现了Microsoft Web服务中的一系列关键漏洞 ，该
漏洞允许通过七个步骤访问success.office.com，并代表公司发送包含网络钓鱼链接的电子邮件。
是什么原因 访问点是损坏的Azure Web应用程序。 在帮助下控制了success.office.com域之后，研究人员使用OAuth验证中的错误来绕过授权机制并使用网络钓鱼来获取其他人的令牌。 此类黑客的受害者几乎不会猜出这个窍门，因为危险链接的官方网址为：login.live.com。
有什么后果。 发现漏洞后，SafetyDetective于2018年6月与Microsoft联系。 该公司于2018年11月做出回应并纠正了这种情况。 安全专家认为，该漏洞影响了大约4亿用户，并允许访问从Microsoft Outlook到Microsoft Store的所有Microsoft帐户帐户。
痛苦的Google+
怎么了 在这一年中，Google专家在一个濒死的社交网络中发现了几个漏洞。
其中一个可以查明用户的登录年龄，性别，电子邮件地址和用户的工作地点，自2015年以来一直存在，影响了约50万个帐户，
第二个相对较新出现在代码中 ，即2018年11月，但显示了更多的机密数据：受到攻击有5250万个帐户。
是什么原因 安全审核显示，这两个漏洞都是由Google+ API中的错误引起的，该错误导致未经授权访问连接的应用程序的用户数据。
有什么后果。 Google不能自信地回答第一个漏洞是否被利用的问题，因为API日志的存储时间不超过两周。 发现第二个漏洞并在出现后6天修复了该漏洞，但是该公司仍决定加快关闭Google+的速度。 API将在2019年3月7日停用。 该社交网络将于今年4月完全停止工作。
一记录DDoS
怎么了 2018年2月28日，黑客
在GitHub服务器上发起了1.35 Tb / s的
记录攻击 ，但在2018年3月5日，
分析师报告称该记录已被打破。 在一次新的攻击中，一家美国提供商的网络遭受了负载，峰值达到1.7 Tb / s。
是什么原因 造成这种情况的原因是自2014年以来就已知的Memcached代码中的漏洞-用于在服务器RAM中缓存数据的软件。 在2017年秋天，发现了一种利用漏洞通过易受攻击的反射器服务器实现流量倍增的方式来实施DRDoS攻击的方法。
有什么后果。 该记录可能会被破坏，因为网络上仍然有很多资源使用了不正确的易受攻击的Memcached设置。 为了防止此类攻击，
Cloudflare建议完全限制或阻止端口11211的UDP。
信息安全领域的事件数量仅在增加。 在这次简短的导览中，我们仅收集了部分可能的威胁，其中许多尚未被发现。 如果您想保护自己的服务或戴白帽子成为福尔摩斯，与BI.ZONE网络安全学院的Binary District专家一起将为您进行密集的
Web应用程序安全和
企业网络攻击调查 。 课程将于2月16日至17日在Digital October地点举行。