安全简讯（2026.10.20）

启明星辰安全简讯

2026年10月20日 16:32
北京

去阅读

1. 定向恶意广告零点击传播Candiru间谍软件

10月16日，公民实验室研究人员披露了一种名为AdFection的零点击攻击技术，攻击者通过定向在线广告传播以色列间谍软件供应商Candiru开发的监控工具，用户无需点击广告，仅加载恶意广告即可触发感染。调查发现，以色列公司Discovere-Tech可能充当间谍软件产业与在线广告生态之间的桥梁，通过广告平台投放植入JavaScript代码的广告，并利用NOAS服务器根据IP地址、广告标识符等信息筛选目标，仅向特定设备发送恶意代码，以增强攻击隐蔽性。半岛电视台提供的证据显示，2024年至2025年间至少有45台设备遭到攻击，网络日志呈现出从Discovere-Tech基础设施到Candiru验证服务器，再到间谍软件控制服务器的攻击链。研究还发现，2026年3月至6月，相关广告业务参与约37.7亿次竞价并赢得4.42亿次广告拍卖，携带攻击脚本的广告曾出现在75,373款移动应用和120,768个网站上，但这些数字不代表实际感染数量。谷歌及多家广告技术企业在收到报告后，已采取措施删除违规账户并封锁相关域名。

https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/

2. ETS遭网络攻击致加州数百万学生信息泄露

10月17日，美国新泽西州非营利教育考试服务机构ETS遭遇网络攻击，导致加州数百万名现任及往届公立学校学生的个人信息泄露。加州教育部披露，攻击者利用被盗登录凭证进入ETS用于与教育部门传输评估数据的安全文件传输协议（SFTP）站点，并潜伏近五个月。ETS于2026年9月25日发现异常活动，调查确认，泄露数据涉及过去三年加州公立学校学生记录，以及部分可追溯至2006年的往届学生信息。2025—2026学年，加州超过1000个学区共有570多万名学生就读。泄露信息包括姓名、出生日期、住址、学生及学区标识、种族或民族、原籍国、语言能力、考试成绩、残疾状况及相关教育服务资格等。ETS表示，目前没有证据表明社会保障号码、金融账户、银行卡信息、密码及家长或监护人信息遭到获取，也尚未发现被盗数据公开发布。事件发生后，ETS关闭原SFTP站点并建设具备更强安全控制的新站点，同时通知受影响学生及家庭，预计通知工作持续至11月初。加州教育部还将通过Experian IdentityWorks向受影响的现任及往届学生提供两年免费身份保护服务。

https://cybernews.com/news/california-student-data-breach-millions-records-ets-hack/

3. Rhysida勒索组织窃取美国县政府2.6TB数据

10月17日，美国马里兰州安妮阿伦德尔县证实，2026年8月28日发现政府网络存在可疑活动，调查确认未经授权人员访问了部分系统并复制文件。勒索软件组织Rhysida声称对此次攻击负责，并在暗网泄露网站上宣称窃取约2.6TB数据、共计81.45万个文件，要求支付约200万美元赎金，并以25枚比特币的价格出售相关数据。该组织声称，窃取的信息包括数万份包含患者姓名和诊断结果的医疗传真、社会安全号码、驾驶执照、绿卡、银行信息，以及县政府工资登记、员工薪酬、养老金、纪律记录和监狱情报等敏感资料，并称部分美沙酮诊所记录受到联邦法律保护。目前，县政府尚未公布实际受影响的数据类型及居民人数，相关文件仍在审查中，因此勒索组织披露的数据规模和内容尚待独立核实。

https://cybernews.com/news/rhysida-maryland-government-data-breach/

4. 俄乌无人机袭击波及数据中心及物流设施

10月17日至18日夜间，俄罗斯圣彼得堡及列宁格勒州遭遇大规模无人机袭击，科技企业VK的数据中心和电商平台Ozon的物流中心受到波及。VK位于新谢尔吉耶夫卡的数据中心遭到攻击，公司表示相关服务总体运行正常，但部分用户报告连接异常和网络中断，目前尚不清楚故障是否由数据中心受袭或附近变电站受损引起。Ozon证实，其位于圣彼得堡科尔皮诺区索菲亚大街的物流中心发生火灾，该设施是其在俄罗斯西北部的重要物流基地之一。袭击还破坏了列宁格勒州电力分配基础设施，导致约2万名居民停电，并造成人员死亡和受伤。俄罗斯国防部称，防空部队一夜间击落1015架乌克兰无人机，俄方媒体称此次袭击规模为该地区近四年来最大。此前，俄罗斯科技企业Yandex位于弗拉基米尔州的数据中心也因无人机袭击被迫关闭。与此同时，10月16日至17日，俄罗斯对乌克兰多个能源设施发动夜间袭击，造成电力和供水中断，乌方称袭击导致7人死亡、至少90人受伤。乌克兰总统泽连斯基表示，自美国总统宣布能源停火以来，俄罗斯已对乌克兰能源、石油和天然气部门实施76次袭击。

https://cybernews.com/news/ukrainian-drones-hit-vk-data-center-and-ozon-warehouse/

5. 日经新闻一个月内三度遭遇数据泄露事件

10月19日，日本日经新闻集团近日披露新一起数据泄露事件，涉及约183万条个人信息记录，成为该公司一个月内披露的第三起网络安全事件。据日经新闻通报，攻击者于10月7日凌晨利用窃取的凭证，未经授权访问其网络中的开发系统，导致存储在云端的个人信息泄露。其中约15万条记录包含姓名、电子邮件地址、实际地址、电话号码或出生日期等身份信息，约12万条记录包含电子邮件地址；其余168万条记录不包含可识别个人身份的信息。公司表示，目前未发现信用卡信息泄露，也没有证据表明被访问的数据遭到滥用或被发布至网络，亦未发现系统遭破坏、数据被篡改或服务中断的迹象。日经新闻已于10月11日撤销遭滥用的凭证，并向日本个人信息保护委员会报告事件，正持续调查受影响范围、攻击原因及潜在损失，并将单独通知受影响员工。此前，该公司还披露两起安全事件：7月下旬，攻击者入侵员工Google Workspace账户并获取员工及业务合作伙伴的个人信息；9月，另一名员工的Microsoft 365账户遭劫持，被用于向公司员工发送鱼叉式网络钓鱼邮件。

https://www.bleepingcomputer.com/news/security/nikkei-discloses-third-data-breach-in-a-month-18m-records-exposed/

6. Rank Math PRO插件供应链攻击致网站后门风险

10月19日，WordPress SEO插件Rank Math PRO遭遇供应链攻击，部分用户下载或更新至含有恶意代码的3.0.123版本，插件激活后可能导致网站被攻击者控制。Rank Math表示，受影响时间为10月15日20:02 UTC至10月16日07:12 UTC，已删除恶意文件并发布安全版本3.0.124。恶意软件可能在网站页面被访问时重新创建隐藏后门，以维持对网站的持续访问，并窃取账户凭证、API密钥及其他机密信息。攻击者还可能伪造WordPress核心文件、篡改.htaccess配置、投放包含PHP代码的.cache文件、创建定时任务、修改其他插件和主题，以及添加未知管理员账户，增加恶意代码的隐蔽性和清理难度。攻击者甚至可能修改WordPress安装目录之外的系统文件，包括SSH授权密钥、系统用户定时任务及其他具有Web服务器写入权限的位置。Rank Math建议，受影响用户应优先通过干净备份恢复网站；无法恢复的，须删除恶意文件及数据库条目、阻断恶意域名，并排查异常文件和账户。确认安全后，更改相关密码、安装3.0.124安全版本，并持续监测，防止后门残留及再次入侵。

https://www.securityweek.com/rank-math-pro-wordpress-plugin-compromised-in-supply-chain-attack/