3.1.1.OpenAI、Google等使用的大模型數據集泄露約12000個API密鑰和密碼
近日，研究人員在用于訓練人工智能模型的Common Crawl數據集中發現了11908個有效的API密鑰、口令以及密碼等敏感信息。作為全球最大的開源網絡數據集之一，Common Crawl自2008年起持續收集PB級Web數據，并免費向公眾開放，許多人工智能項目可能至少在一定程度上依賴這些數字檔案來訓練大型語言模型（LLM），其中包括OpenAI、DeepSeek、Google、Meta、Anthropic和Stability等公司的模型，這一發現再次凸顯了硬編碼憑證給用戶和組織帶來的嚴重安全風險。
來源：
https://www.bleepingcomputer.com/news/security/nearly-12-000-api-keys-and-passwords-found-in-ai-training-dataset/
3.1.2.美國健康科技公司ESHYFT數據庫配置錯誤致86000名醫護人員敏感數據泄露
3月13日，網絡安全研究員Jeremiah Fowler發現一個沒有密碼保護或加密的數據庫，屬于業務遍及29個州、總部位于新澤西州的健康科技公司ESHYFT暴露了，該數據庫包括ESHYFT旗下86000多名醫護人員的108.8 GB敏感數據，包括SSN、身份證件掃描件、薪資詳情等個人身份信息。
來源：
https://hackread.com/healthtech-database-exposed-medical-employment-records/
3.1.3.美國保險經紀公司Oberlin Marketing超三十萬份敏感健康財務信息遭泄露
3月18日，美國保險經紀公司Oberlin Marketing因未保護其AWS S3存儲桶，導致數十萬份包含客戶健康狀況和財務信息的敏感文件遭泄露。這些文件涉及超過320000名用戶，包括姓名、家庭住址、出生日期、性別、電話號碼、簽名、健康信息和財務詳情等。
來源：
https://cybernews.com/security/oberlin-marketing-medicare-applications-leaked/
3.1.4.俄羅斯網絡設備供應商Keenetic路由器數據泄露致俄用戶敏感信息暴露
3月21日，獨立安全研究員發現俄羅斯網絡設備供應商Keenetic移動應用數據庫遭未授權訪問，包含用戶郵箱、設備型號、加密密鑰及管理員憑證等。泄露數據包括：超103萬用戶賬戶信息、92萬設備詳情、55萬網絡配置及5300萬條服務日志，其中94%用戶來自俄羅斯。
來源：
https://cybernews.com/security/keenetic-router-data-leak-puts-users-at-risk/
3.1.5.澳大利亞專業工具零售商Sydney Tools數據庫泄露客戶訂單與員工敏感信息
3月25日，澳大利亞專業工具零售商Sydney Tools遭遇重大數據泄露事件，暴露的未加密數據庫持續泄露員工及客戶敏感信息。泄露數據包含5000余名現職及離職員工的姓名、部門、薪資及銷售目標等核心人力資源信息，同時涉及超3400萬條客戶在線訂單記錄，涵蓋姓名、住址、電話、郵箱及購買明細等個人隱私。
來源：
https://cybernews.com/security/sydney-tools-exposed-data-leak/
3.1.6.澳大利亞金融科技公司Vroom by YouX因AWS配置錯誤導致敏感數據泄露
3月27日，澳大利亞金融科技公司Vroom by YouX近期遭遇敏感數據泄露事件，安全研究員Jeremiah Fowler在公開可訪問的Amazon S3存儲桶中發現包含27000條記錄的無保護數據庫，泄露信息涵蓋駕照、醫療記錄、就業證明及含部分信用卡號的銀行對賬單等高度敏感數據。
來源：
https://hackread.com/aussie-fintech-vroom-pii-records-aws-misconfiguration/
4.1.1.國家計算機病毒應急處理中心監測發現15款違規移動應用
國家計算機病毒應急處理中心依據《網絡安全法》《個人信息保護法》《App違法違規收集使用個人信息行為認定方法》等法律法規及相關國家標準要求，近期通過互聯網監測發現15款移動應用存在隱私不合規行為。針對上述情況，國家計算機病毒應急處理中心提醒廣大手機用戶首先謹慎下載使用以上違規移動應用，同時要注意認真閱讀其用戶協議和隱私政策說明，不隨意開放和同意不必要的隱私權限，不隨意輸入個人隱私信息，定期維護和清理相關數據，避免個人隱私信息被泄露。
來源：
https://www.cverc.org.cn/zxdt/report20250307.htm?sessionid=-588464977
4.1.2.北京市通信管理局關于問題APP的通報
依據《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《網絡產品安全漏洞管理規定》等法律法規，按照工業和信息化部工作部署要求，北京市通信管理局持續開展APP隱私合規和網絡數據安全專項整治。現將存在侵害用戶權益和安全隱患等問題的APP實行通報、下架處理。
https://bjca.miit.gov.cn/zwgk/tzgg/art/2025/art_f35387342b85406286d6bba43270035c.html
4.1.3.小紅書回應3天讀取用戶信息1.7萬次
近日，有多位小紅書用戶向媒體反映，小紅書后臺持續高頻獲取用戶位置信息，有用戶最高3天內被訪問1.7萬次，包含定位、照片與視頻、設備狀態、日程、剪貼板等，甚至凌晨未使用軟件時段仍有高頻操作，引發隱私安全方面的擔憂。3月27日晚，小紅書最新回應關于平臺“高頻讀取用戶位置信息”一事。?小紅書官方賬號“薯管家”發布公告稱，3月26日至3月27日，陸續有外界關注到“小紅書高頻讀取用戶信息”的相關信息。?經核查，平臺不會在未經授權的情況下讀取用戶位置信息。讀取頻次取決于用戶使用場景，個別用戶遇到的高頻讀取情形可能與個人使用行為有關。
https://www.360kuai.com/pc/990da232fb9e14e0e?cota=3&kuai_so=1&refer_scene=so_3&sign=360_da20e874&sessionid=-585360645
4.1.4.中消協提示：謹防“免密支付”盜刷漏洞
中國消費者協會25日發布消費提示，近期陸續接到消費者投訴，因“免密支付”功能導致賬戶資金被盜刷，提醒消費者謹慎使用“免密支付”功能，避免因賬戶權限過度開放而引發資金損失。
https://mp.weixin.qq.com/s/fmLGQEwTaYOoFI1Wx1Jsvg
4.2.1.谷歌官方應用SafetyCore暗中掃描用戶手機中的照片
近期，大量用戶報告揭示，自2024年10月以來，谷歌的Android系統服務SafetyCore已在運行Android 9及以上版本的設備上悄然安裝。該服務旨在實現設備端內容掃描，但由于其安裝過程隱蔽且缺乏透明度，引發了廣泛的隱私擔憂。與常規應用安裝不同，SafetyCore沒有圖標，隱藏在系統進程中，并占用了約2GB的存儲空間。這一細節在一篇廣泛傳播的X（原Twitter）帖子中被曝光，帖子指責谷歌暗中開啟了照片庫掃描功能。用戶只有在進入“設置 > 應用 > 顯示系統進程”時，才能發現該應用作為后臺服務存在，并擁有互聯網訪問、存儲和設備傳感器等權限。
來源：
https://www.freebuf.com/news/423112.html?sessionid=-587045682
4.2.2.331個惡意應用潛入Google Play商店，影響60萬用戶
近日，安全研究人員揭露了一起代號為“Vapor”大規模Android惡意應用攻擊事件。據Bitdefender最新報告，共有331個惡意應用被上傳至Google Play商店，累計下載量超過3億次，影響約60萬用戶。這些應用主要充當廣告軟件或試圖竊取用戶憑證和信用卡信息。這些應用采用多種技術規避檢測，如禁用啟動器活動、重命名自身、使用原生代碼啟用隱藏組件等。一些應用甚至會顯示虛假的Facebook和YouTube登錄界面以竊取憑證。Google已下架所有相關應用，但專家警告Vapor可能通過新應用卷土重來。建議Android用戶謹慎安裝來源不明的應用，仔細審查權限，并定期比對已安裝應用列表。
來源：
https://www.bleepingcomputer.com/news/security/malicious-android-vapor-apps-on-google-play-installed-60-million-times/
浙公網安備 33010502006954號 
