403 Forbidden

Facebook collects intimate customer data from over 100 European pharmacies https://sverigesradio.se/artikel/facebook-collects-intimate-customer-data-from-over-100-european-pharmacies

Musk Twitter 有可能退出歐洲 https://www.euractiv.com/section/platforms/news/musks-twitter-on-collision-course-with-europe-with-exit-possible/​

美国阿肯色州众议院最近通过了「社交媒体安全法案」(Social Media Safety Act)。 如果此法案正式成为法律，社交媒体将被要求通过第三方供应商对阿肯色州居民进行年龄确认；18 岁以下的用户则会需要家长同意才能开设社交账号。 https://edition.cnn.com/2023/04/06/tech/arkansas-social-media-age-bill-house-vote/index.html #Arkensas#US#SNS

Apple 的 App 追蹤政策在法國與德國面臨反壟斷訴訟 Apple app tracking policies face antitrust action in France, as well as Germany https://9to5mac.com/2023/04/11/apple-app-tracking/

拼多多解散漏洞攻击团队 但还保留20人继续挖漏洞 据媒体报道，匿名的拼多多员工称，公司在 2020 年组建了一个大约由 100 名工程师和产品经理组成的团队，致力于挖掘 Android 手机漏洞，开发漏洞利用方法，将其转化为利润。 消息称拼多多最初不敢在全国范围都展开攻击，刚开始只针对农村和小城镇的用户，避开北上广之类的大城市，用来降低暴露的风险。 显然拼多多这只漏洞挖掘团队很有经验，其中的工程师应该之前就有过类似的经验，因为几年前 PC 端的垃圾软件推广就是这样，静默捆绑软件时，会刻意避开大城市，四五线中小城市是重灾区。 报道称在 2 月 28 日被曝光后，拼多多于 3 月 5 日发布新版本删除恶意代码，3 月 7 日拼多多解散了这个漏洞挖掘团队。 到 3 月 8 日这个漏洞挖掘团队的成员发现自己无法访问拼多多的内部通讯工具，也无法访问公司内网上的文件，另外大数据、数据表和日志系统的访问权限也被撤销。 显然这是拼多多发现情况不对后应该想要毁灭痕迹，估计这时候并夕夕已经清理这个团队的日常活动和通讯记录。 但仍保留 20 名核心工程师致力于挖掘漏洞： 消息还指出这个 100 余名的团队被解散后，大部分工程师被转到拼多多国际版工作，他们被分配子公司的不同部门，一些工程师负责营销和开发推送通知。 但拼多多似乎并不死心，一个由 20 名网络安全工程师组成的核心团队仍然留在拼多多，他们继续从事发现和利用漏洞的工作。 另外尽管拼多多已经将漏洞删除，但底层代码仍然还在，拼多多估计想等着风头过去继续开发漏洞攻击用户。

中國拼多多App被揭監控手機更改用戶設定 專家批非常可惡

義大利因隱私疑慮封鎖ChatGPT 開西方國家第一槍

Kaspersky 称，发现拼多多 App 的较早版本有利用系统软件漏洞以安装后门及获取用户数据及通知等行为。 https://www.bloomberg.com/news/articles/2023-03-27/pinduoduo-app-malware-detailed-by-cybersecurity-researchers thread: /4092 #PinDuoDuo#Security#Kaspersky

民主党议员 Mark Warner 等向国会提出法案 RESTRICT Act (Restricting the Emergence of Security Threats that Risk Information and Communications Technology Act)，即「限制滋生危害信息与通讯技术的安全威胁」法案。根据法案，违法者（具体可参法案 3(a) 段落）可被判决最高 20 年徒刑。 Vice 的文章提到 [1]： - 法案只适用于和「外国敌对者」有关联的技术，这个「外国敌对者」包含中华人民共和国（含港澳）、朝鲜、俄罗斯等国家； - 法案中存在大量的模糊表达； - 法案可能会限制公民言论自由及将 VPN 的使用有罪化，同时却无法真正保护公民隐私。 https://www.congress.gov/bill/118th-congress/senate-bill/686/text 1. www.vice.com/~ #RESTRICTAct#US#Privacy

Lookout 确认拼多多的非 Play 版本包含恶意代码 2023-03-27 21:35:00 by 星火 本月早些时候，独立安全研究机构 DarkNavy 发表文章披露，国内一家互联网巨头的 APP 利用了 Android 系统漏洞提权使其难以卸载。这家巨头之后确认为拼多多。上周一 Google 将拼多多的多个应用标记为恶意程序。拼多多则发表声明，表示强烈反对一位匿名独立安全研究员关于其应用恶意的推测和指控。现在，安全公司 Lookout 的研究人员对非 Google Play 版本的拼多多应用的分析确认了 DarkNavy 的指控。初步分析显示，至少两个非 Play 版本的拼多多应用利用了漏洞 CVE-2023-20963。该漏洞是 Google 在 3 月 6 日公开的，利用该漏洞可以提权，而且整个过程不需要用户交互。两周前修复补丁才提供给终端用户。 Lookout 的研究人员分析了拼多多在 3 月 5 日前发布的两个版本，都包含了利用 CVE-2023-20963 的代码。这两个版本都使用了与拼多多 Google Play 版本相同的密钥签名。目前没有证据表明 Play Store 和苹果 App Store 的版本含有恶意代码，通过 Google 和苹果官方商店下载的拼多多应用是安全的。但通过第三方市场下载的 Android 用户则没有那么幸运了，鉴于拼多多有数亿用户，受影响的用户数量可能是非常惊人。 https://arstechnica.com/?p=1926914 #安全

俄罗斯去匿名化 Telegram 用户 2023-03-27 22:37:00 by 超时空碎片 俄罗斯在 2022 年逮捕了多名知名的 Telegram 用户，调查显示国有的俄罗斯国家工业和科技集团公司(Rostec)旗下的一家公司开发了名为 "Okhotnik" (Охотник) 的系统，利用了逾 800 个数据点建立关联去匿名化 Telegram 用户的身份。这些数据点来自社交网络、博客、论坛、即时通讯工具、BBS、加密货币区块链、暗网以及政府服务，包括姓名、昵称、电邮地址、网站、域名、加密钱包、加密密钥、电话号码、地理位置信息、IP地址等。Okhotnik 可以找到目标用户过去任何时候犯下的任何错误去实现去匿名化。 https://www.bleepingcomputer.com/news/security/russia-s-rostec-allegedly-can-de-anonymize-telegram-users/ #安全

卡巴斯基确认拼多多APP的中国版本中存在恶意代码 总部位于莫斯科的卡巴斯基实验室的安全研究人员在PDD的中国购物应用拼多多版本中发现并概述了潜在的恶意软件，此前谷歌将其从其安卓应用商店中下架。 在对恶意代码的首批公开报告之一中，卡巴斯基阐述了该应用程序如何提升自身权限以破坏用户隐私和数据安全。 它测试了通过中国本地应用商店分发的应用版本，华为技术有限公司、腾讯控股有限公司和小米公司经营着一些最大的应用市场。 卡巴斯基与彭博社分享的调查结果是独立安全团队对上周触发谷歌行动和恶意软件警告的最清晰解释之一。 这家网络安全公司在揭露历史上一些最大的网络攻击方面发挥了作用，该公司表示，它发现了早期版本的拼多多利用系统软件漏洞安装后门并获得对用户数据和通知的未授权访问的证据。 这些结论在很大程度上与过去几周在网上发布他们的发现的研究人员的结论一致，尽管彭博新闻社尚未证实早期报道的真实性。 这起安全事件可能会为美国本已激烈的关于中国应用程序数据不安全的言论火上浇油。 虽然拼多多主要在中国使用，但 PDD 的另一款应用 Temu——销售从衣服到厨房用品的所有商品——在过去几个月的大部分时间里一直是苹果公司美国应用商店中下载次数最多的应用。 它尚未像 ByteDance Ltd. 的 TikTok 那样成为立法者审查的焦点。 —— 彭博社