史上最大数据泄露?黑客如何窃取 160 亿条凭据

HackenProof 回顾 2018 年 Elasticsearch 配置不当泄露：73GB 数据、5,693 万条美国公民记录被公开索引，疑似源于 Data & Leads；文章梳理其后八年同类事件规模逐年扩大（2019 年 12 亿条、2020 年 108.8 亿条），说明该问题并未消失。

Jones Day/Accellion 数据泄露的五点教训：停产 20 年的 FTA 文件传输产品成为突破口，凸显第三方风险管理（TPRM）在实践中的难度。

被植入木马的漏洞 PoC 会把漏洞研究流程本身变成攻击面。研究人员在执行利用代码前，应进行隔离、审查与验证。

HackerOne 网站上线账户安全改进：新注册与密码重置均拒绝已在大规模数据泄露中出现过的密码，集成 Have I Been Pwned 近 8.5 亿条泄露口令库，并配合 12 位最小长度与熵值检查。

Aikido 检测到针对 Laravel-Lang 的供应链攻击：攻击者利用 GitHub 标签可指向 fork 提交的特性，在三个仓库发布恶意版本标签（共 233 个版本受影响），通过 Composer 自动加载器植入约 5900 行的 PHP 凭据窃取器，窃取 AWS、GCP 等云凭据。Packagist 已下架受影响版本。

一名 Vercel 员工安装了 Context.ai 浏览器扩展，而 Context.ai 员工设备上的 infostealer 窃取了其保存的 OAuth token，最终引发对 Vercel 的大规模攻击。Aikido 指出浏览器扩展具备第三方特权代码、隐式信任和上游攻陷三要素，应按供应链攻击向量对待。