Brevo遭API密钥泄露 ，恶意剧本波及10万网站
颁布功夫 2026-09-181. Brevo遭API密钥泄露 ，恶意剧本波及10万网站
9月17日 ，Brevo证实攻击者窃取其Cloudflare API密钥 ，利用该密钥创建恶意Worker ，将ClickFix剧本注入其网站及客户网站嵌入的JavaScript文件中。攻击产生于9月14日 ，持续约五个半幼时 ，影响brevo.com、sendinblue.com等多个域名及Brevo表单剧本、对话幼部件和SDK加载器剧本。该API密钥拥有齐全账户权限 ，且硬编码在源代码中 ，使攻击者能在Brevo区域内创建Workers、路由和DNS纪录而不触发警报。由于Worker在边缘沉写响应并删除安全标头 ，源服务器文件未变 ，尺度齐全性查抄未能检测到更改。Brevo发现后删除Worker及路由 ，撤销泄录钥 ，断根硬编码凭证和边缘缓存 ，并称主题服务与客户数据未受影响。安全公司Sansec称事务可能影响多达10万个使用受影响组件的网站。接见者会看到虚伪Cloudflare验证页面 ，随后被诱导在Windows上运行号令。WordPress剧本会查抄治理员登录并上传假装成“Web Media Optimizer”的后门插件 ，该插件可暗藏自身、联系攻击者服务器并天生治理员登录会话。9月14日登录过受影响网站的治理员应查抄并移除异常插件 ，同时轮换密码。
https://www.bleepingcomputer.com/news/security/brevo-supply-chain-attack-injected-clickfix-scripts-on-customer-sites/
2. 美两艘油轮途中遭网络攻击被登船查抄
9月17日 ，美国官员称 ，上月两艘开往德克萨斯州的油轮途中遭网络攻击 ，随后被海岸警卫队和联国调查局登船查抄。其中一艘为悬挂利比里亚国旗的原油油轮VL Prosperity ，8月1日脱离埃及前往加尔维斯顿。伊朗梅尔通讯社报路称 ，攻击产生在8月7日油轮通过直布罗陀海峡时 ，黑客入侵机舱 ，滋扰冷却液、发起机转快和燃油输送 ，并入侵导航和货物系统 ，堵截通讯约30幼时。汇报颁布一天后 ，海岸警卫队、联国调查局等人员登船查抄四天；第二艘船于8月24日被查抄 ，两艘船均在到达墨西哥湾后登船。美国海岸警卫队尚未公开将事务与伊朗联系起来。海岸警卫队网络司令部司令格雷布尔少将称 ，调查人员发现了恶意网络攻击者的证据 ，但未发现不安全操作隐患 ，这是从前一年约40至50次类似查抄之一。前海岸警卫队网络官员杜博斯辩驳了黑客可齐全节造超等油轮的说法 ，以为更现实的风险是粉碎足够多单个系统 ，使安全操作变得难题。调查人员仍在确定两起事务是否关联及伊朗或其他国度行为体是否应掌管 ，杜博斯督促对有关伊朗的报路维持审慎。
https://www.securityweek.com/cyberattacks-on-two-oil-tankers-prompt-coast-guard-fbi-to-board-vessels/
3. 伦敦物业治理公司City Relay遭入侵
9月17日 ，伦敦物业治理公司City Relay忠告客户 ，入侵者可能已攻破其Metabase云事俘 ，窃取财政数据、密码和用于接见钥匙的代码。该公司通过电子邮件奉告房东 ，由于“我们之前不知路的平台缝隙” ，攻击者两次接见了第三方提供的云服务 ，幼我数据已被提取� ？赡苄孤兜氖菰毯彰⒌缱佑始⒌刂贰⒌缁啊⒉普畔ⅰ⒎坎蛹昵楹驼嘶苈�。财政数据蕴含银行账号、排序代码、IBAN、SWIFT参考号及账户名称和地址。攻击者可能还获取了存放钥匙的地位及保险箱密码。City Relay于9月8日得知入侵 ，9月14日通知受影响客户。该公司还督促客户查抄银行账户可疑买卖 ，警惕网络垂钓和其他诳骗 ，并更改沉复使用的密码。City Relay暗示未发现泄露数据被滥用的证据 ，正与网络安全专家和“有关部门”持续调查。其网站称拥罕见百个“合作同伴” ，治理着数千处伦敦房产 ，但尚未泄漏受影响客户数量。City Relay未指明所利用的缝隙。
https://www.theregister.com/security/2026/09/17/london-property-manager-breach-may-have-exposed-bank-details-and-lockbox-codes/5297232
4. Gyazo缝隙致2362万用户纪录泄露
9月17日 ，Helpfeel旗下图片分享服务Gyazo产生安全缝隙 ，约2362万条用户纪录泄露 ，蕴含电子邮件地址和密码哈希值 ，另泄露约4.9亿条图像元数据纪录 ，大部门为2019年1月或更早图像 ，蕴含组成Gyazo图像链接的ID ，可能被用于未经许可查看图像 ，部门图像查看职能已被临时禁用。Helpfeel要求所有效户更改密码 ，并更改其他使用一样或类似密码的服务密码。攻击者利用Gyazo图片上传服务器缝隙入侵系统 ，执行肆意号令并接见数据库 ，但无支付信息泄露。泄露纪录可能蕴含姓名、电子邮件、密码哈希、用户身份、设备ID、登录会话ID、X集成令牌、Google SSO电子邮件、幼我资料、说话偏好、注册及最后登录功夫、订阅打算、账单状态和使用统计等。2362万蕴含匿名账户 ，Helpfeel仍在统计受影响人数 ，并已使部门账户失效。Gyazo图像链接由32字符ID组成 ，链接被分享前图像私密 ，任何占有链接者可查看 ，泄露的ID正是关键部门。受影响元数据纪录约占Helpfeel图像有关数据的14.4%。泄露字段还蕴含上传IP、用户代理、EXIF地位、OCR文本、图片标题、源URL及私密图像哈希密码。
https://thehackernews.com/2026/09/gyazo-breach-exposes-2362-million-user.html
5. FBI查封DDoS出租平台NightmareStresser域名
9月17日 ，美国联国调查局周二查封了NightmareStresser使用的域名 ，该平台是世界上运行功夫最长的散布式回绝服务（DDoS）平台之一。像NightmareStresser这样的“Booter services”是DDoS攻击出租服务 ，允许任何人租用由被入侵的路由器和各类物联网设备组成的大型僵尸网络 ，对在线平台和服务提议大规模DDoS攻击。在被关关之前 ，nightmare-stresser[.]com和nightmarestresser[.]org自称是“排名第一的在线IP攻击工具”和“唯一24/7全天候可用的DDoS工具”。据网络安全公司Searchlight Cyber在2023年报路 ，NightmareStresser占有超过566,000名注册用户和52台专用服务器 ，能够提议高达200 Gbps的DDoS攻击 ，指标蕴含网络的多个层级 ，蕴含第7层利用和谈和第4层TCP/UDP和谈。美国联国调查局网络部门周三暗示 ，自2022年以来 ，NightmareStresser Booter服务被用于提议数十万次针对全球受害者的现实或未遂DDoS攻击。这次法律行动得到了“电力中断行动”的支持 ，这是一项由国际法律机构协调发展的行动 ，旨在拆除全球领域内的犯罪DDoS雇佣攻击基础设施。
https://www.bleepingcomputer.com/news/security/fbi-seizes-nightmarestresser-service-linked-to-thousands-of-ddos-attacks/
6. 国际流星组织遭网络攻击 ，网站大部门职能瘫痪
9月14日 ，国际流星组织（IMO）因遭逢网络攻击 ，网站大部门内容仍处于离线状态 ，预计需数周能力复原。这家总部位于比利时的非投机组织掌管协调全球流星观测 ，目前仅提供一个简化的占位页面诠释故障。该机构暗示 ，攻击对老旧基础设施造成严沉粉碎 ，导致网站大部门职能瘫痪 ，在过渡到新基础设施期间将出现数周部门服务中断。IMO尚未披露攻击功夫、入侵方式及数据是否被接见或加密。该组织优先复原了火球汇报职能 ，用户仍可提交观测了局 ，但网站其他部门仍无法接见。沉建过程预计持续数周 ，批注问题不仅限于复原受损服务器 ，但该组织未泄漏损失水平。这次事务还引发了对受影响系统中存储数据的疑难 ，IMO尚未注明用户或贡献者信息是否泄露。
https://www.theregister.com/cyber-crime/2026/09/14/cyberattack-sends-international-meteor-organization-crashing-back-to-earth/5296282
京公网安备11010802024551号