原标题：FreeBuf早报 | 南非约翰内斯堡再次遭到勒索软件攻击；《中华人民共和国密码法》正式通过；Adobe暴露了750万在线的Creative Cloud用户记录

【全球动态】 1.荷兰史基浦机场投诉网站漏洞致近60000投诉者信息泄露

荷兰史基浦机场发言人上周五在行动小组“史基浦观察”（Schiphol Watch）发出报告后，向荷兰网路媒体NU.nl确认，通过史基浦当地联络点（Bewoners Aanspreekpunt Schiphol ，简称BAS）进行投诉的近60000人的个人数据，可以通过这个投诉网站上的漏洞获取。[阅读原文]

2.Adobe暴露了750万在线的Creative Cloud用户记录

Internet上的Elasticsearch数据库中暴露了近750万Adobe Creative Cloud用户的详细基本信息，该数据库无需密码即可在线连接。公开的详细信息主要包括有关用户帐户的信息，电子邮件地址，Adobe会员ID（用户名），原产国以及他们使用的Adobe产品，但不包括密码或财务信息。[阅读原文]

3.腾讯安全：首次攻破超声波屏下指纹识别技术

在近日召开的GeekPwn 2019国际安全极客大赛上，腾讯安全玄武实验室披露了指纹识别领域的最新研究——自动化破解多种类型指纹识别。该研究通过提取用户在日常生活中留存的指纹，自动化进行克隆复原，进而通过各种指纹设备的验证。这次挑战也是国际上第一次成功攻破超声波屏下指纹识别技术。[阅读原文]

4.南非约翰内斯堡再次遭到勒索软件攻击

南非最大城市约翰内斯堡今年7月因勒索软件攻击而导致部分居民失去电力供应，现在它又一次成为勒索软件攻击的目标。自称Shadow Kill Hackers的黑客组织在用勒索软件感染市政府的内部网络之后索要4比特币的赎金，要求在10 月28日当地时间下午 5 点前转出。[阅读原文]

5.苹果在全新“Privacy on iPhone”隐私广告中敦促客户确保数据安全

据外媒AppleInsider报道，苹果周五发布了其“Privacy on iPhone”系列中的最新隐私广告，其中详细介绍了存储在移动设备上的个人敏感数据宝库，并巧妙地暗示iPhone可能是确保信息安全的唯一方法。[阅读原文]

6.NCSC报告：英国今年防御了600多次网络攻击

英国国家网络安全中心（NCSC）宣布今年防御了600多次网络攻击，其中大多数是由海外黑客发起的。根据NCSC的报告，大多数攻击主要针对政府、大学、信息技术、医疗保健和运输。NCSC专门管理网络安全事件，并处理了今年发生的658起事件，为近900名受害者、组织机构提供帮助。自运营以来，已处理近1800起事件。[外刊-阅读原文]

7.宝洁在线美容商店First Aid Beauty遭到Magecart袭击

黑客在Procter＆Gamble的网站First Aid Beauty植入了一个软件skimmer。自5月5日植入起直到最近才发现恶意代码。First Aid Beauty网站中发现的恶意代码只针对美国使用windows系统的用户。研究人员de Groot 上周向公司报告了他的发现，但他没有得到任何回应。[外刊-阅读原文]

【安全事件】 1.研究发现从Stack Overflow复制代码的习惯导致GitHub项目安全性下降

最近有研究显示，从Stack Overflow上复制代码凑到项目中会使出现漏洞的概率大大增加。研究人员分析了1325个Stack Overflow帖子，并获取了其中72000多段C++代码，发现了其中包含有 29 种类型的69个漏洞。这些漏洞出现在 2589 个GitHub仓库中，研究人员通知了受影响的GitHub项目作者，但只有少数人选择修复已知这些危险情况。[阅读原文]

2.虚假微信公众号交易屡禁不止 有人收号有人卖号

近日，继媒体报道福建泉州市民遭遇仿冒车辆年检公众号诈骗后，国家博物馆官方微博发布声明称，多个假冒中国国家博物馆名义的微信公众号连续发布博文，并配发中国国家博物馆建筑LOGO，严重侵权，提醒公众谨防上当。其中，高考招生机构、官方快递理赔、银行信用卡中心等仿冒对象五花八门。据微信官方发布的信息称，截至今年9月，已处理了4.5万个仿冒欺诈类公众号。[阅读原文]

3.黑客恶意利用PHP7远程执行代码漏洞

PHP7中的一个远程代码执行漏洞（CVE-2019-11043）在野利用被发现。安全专家Omar Ganiev通过Twitter宣布了PHP-FPM（PHP的FastCGI流程管理器（FPM））中“新补丁”对于远程代码执行漏洞的有效性 。CVE-2019-11043漏洞不需要使用特定技能即可接入服务器，它是PHP-FPM的fpm_main.c中的env_path_info下溢漏洞。这意味着该问题仅影响启用PHP-FPM的NGINX服务器。[外刊-阅读原文]

4.上市公司高管将信息打包卖出，包含手机号等信息

10月25日，机场艺人“代拍乱象”登上微博热搜，一时间个人信息买卖被推上风口浪尖。除了明星，上市公司高管的个人信息，也已成为被围猎的对象。网友“聚德资源”在其中发布售卖信息揽客，这些信息可谓价格不菲。记者以买家身份与网友“聚德资源”沟通了解到，其所卖信息包含“所有上市公司董事长、财务总监、总经理、董秘姓名及手机号，共两万多条”，售价一万元。[阅读原文]

5.网络支付网购致用户信息泄露或入罪

近日，最高法、最高检联合印发《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》，明确假冒国家机关、金融机构设立网站实施违法犯罪活动的行为构成犯罪；网络支付等致用户信息泄露造成严重后果的将担刑责。[阅读原文]

6.微软建议用户忽略更新KB4523786 因其包含根本不需要更新的内容

微软为Windows 10 May 2019 Update（Windows 10版本1903）设备发布了新的累积更新KB4522355（操作系统内部版本18362.449），其中包括与Microsoft讲述人，Windows搜索索引，VPN连接，睡眠转换问题等相关的多个错误修复。尽管尚未报告兼容性问题或可靠性错误，但是微软建议用户不要安装错误的更新KB4523786。 [阅读原文]

7.罗技深陷漏洞风波 用户电脑可任由黑客“为所欲为”

近日，360安全大脑监测到黑客团伙利用知名IT公司罗技软件中一个老版本模块的漏洞，在大量传播远控木马，作者通过精心构造了一个包含恶意代码的配置文件并加以包装和诱导，令受害目标防不胜防。当用户不幸中招后，黑客团伙可利用该漏洞，轻松实现对目标用户的电脑进行远程操控，不仅可以随时窃取用户个人隐私、机密文件等重要信息，更对用户财产安全构成巨大威胁。 [阅读原文]

【优质文章】 1.Gartner发布2020年十大战略科技发展趋势

全球领先的信息技术研究和顾问公司Gartner于近日公布了企业机构在2020年需要研究的重要战略科技发展趋势。Gartner将战略科技发展趋势定义为具有巨大颠覆性潜力、脱离初期阶段且影响范围和用途正不断扩大的战略科技发展趋势；这些趋势在未来五年内迅速增长、高度波动、预计达到临界点。[阅读原文]

2.《中华人民共和国密码法》正式通过

10月26日，我国首部密码法获十三届全国人大常委会第十四次会议26日表决通过，将自2020年1月1日起正式施行。作为我国密码领域的综合性、基础性法律，该法案将有效规范密码应用和管理，促进密码事业发展，保障网络与信息安全，提升密码管理科学化、规范化、法治化水平。[阅读原文]

3.伪装成Office文档的sodinokibi勒索病毒大量攻击中韩企业

近期腾讯安全御见威胁情报中心检测到大量借助钓鱼邮件传播的sodinokibi勒索病毒攻击中韩两国企业。中招用户被勒索0.15个比特币（市值7800元人民币），中招企业主要集中在广东、山东、江苏、上海、北京等地，主要受害企业包括IT公司、科研和技术服务机构，以及传统制造企业。[阅读原文]

*本文内容收集自全球范围内的媒体与刊物，制作者对其完整性负责，但不对其真实性和有效性负责。

*标注为【外刊】的内容主要来源为英语国家的媒体与刊物，部分内容需要注册免费账号后方可阅读。