安全资讯
聚合当前分类下的最新内容，按时间顺序查看第 1 页精选文章。
连赵长鹏都抢不到用户名,WhatsApp的仿冒漏洞该谁负责
WhatsApp刚开放用户名预留测试,一边是仿冒印度总理的“indiamodi”轻松留成,一边是币安创始人赵长鹏本人抢不到自己常用的“cz_binance”。印度监管已发函施压,但真正的问题不是印度太较真,而是WhatsApp选了一条谁都不讨好的中间设计。
苹果隐藏邮箱功能被曝漏洞，研究者称测试样本100%可还原真实地址
研究员称苹果 Hide My Email 存在漏洞，志愿者测试中隐藏邮箱100%被还原成真实地址，苹果一年未修复。这不是苹果隐私功能第一次名不副实，但对依赖匿名保护安全的人群来说，代价比普通用户严重得多。
苹果 Hide My Email 被曝可反推真邮箱：付费隐私功能，不能慢半拍
404 Media 称，苹果 iCloud+ 付费功能 Hide My Email 存在漏洞，有限测试中可从隐藏邮箱反推出真实 Apple 账户邮箱。研究人员称 2025 年 6 月已向苹果报告并提供复现步骤，报道验证时漏洞仍可利用。问题不只是一次漏洞，而是苹果把隐私做成付费卖点后，响应速度和告知责任是否配得上这块招牌。
亚马逊新 Fire Stick 关闭侧载：安全是真问题，控制也是真代价
Vega OS 版 Fire Stick 不再向普通用户开放侧载，亚马逊给出的理由是盗版应用和外部 APK 可能带来恶意软件风险。 这个理由有现实依据，但证据还不完整：亚马逊高管没有给出 Fire Stick 用户受害的具体案例。 对用户来说，变化不只是不方便装盗版应用，也会影响第三方主页、广告拦截器和隐私工具，购买新款前要先看自己是不是依赖这些功能。
Reddit 将要求登录才能访问 Old Reddit：旧入口还在，匿名浏览少了一块
Reddit 员工称，未来一个月内，old.reddit.com 将逐步要求登录后访问，理由是未登录 Old Reddit 已成为滥用抓取和自动化流量的重要来源。Old Reddit 暂时没有关闭，但匿名读帖、临时查帖和隐私敏感用户会先感到不便。这更像一次反爬治理，也像 Reddit 继续收紧开放网页入口的信号。
BioShocking 演示提醒：AI 浏览器让提示注入靠近了终端权限
LayerX 展示的 BioShocking 仍是概念验证，不是已大规模利用的攻击。它通过网页游戏和谜题诱导 AI 浏览器接受“2+2=5”等错误规则，再请求读取代码框、凭据等敏感内容。真正的问题不在单个 jailbreak 技巧，而在 AI 浏览器把网页内容、LLM 推理、本机和账户权限接进同一条执行链。
亚马逊与 FTC 以 225 万美元和解：身份盗窃受害者为何被客服流程卡住
FTC 与亚马逊达成和解，亚马逊将支付 225 万美元，以解决其涉嫌未按 FCRA 向身份盗窃受害者提供欺诈账户记录的指控。罚款金额不是重点，关键是平台反欺诈流程是否把真实受害者挡在取证门外。对消费者和电商合规团队来说，这件事直接指向一个问题：身份盗窃请求必须有单独通道，不能被普通客服脚本消耗掉。
2.7 万个政府网站，不能靠 AI 一键换皮
特朗普设立的 National Design Studio 想在三年内重做约 2.7 万个 .gov 网站，一年后却只交出少量单页、跳转站和争议项目。真正的问题不只是 AI 图翻车，而是公共服务被当成品牌秀之后，隐私、无障碍、安全和组织能力一起暴露了短板。
iPhone 18 Pro 疑似跌落视频被删：苹果真正难按住的是供应链数据
疑似 iPhone 18 Pro 跌落测试视频在 X 短暂流出后被删除，仿冒 Evleaks 的账号被暂停，IceUniverse 也称相关帖子遭下架。视频真实性未获苹果确认，X 下架也不能直接归因苹果，但它与 Reuters 关于 Tata Electronics 数据泄露的报道相互咬合。真正的问题不是一条视频，而是苹果保密战场正在从车间和样机，转向供应商的数据系统。
美国使馆活动上，记者被当成“active threat”带走
《European Correspondent》称，其记者受邀进入布鲁塞尔一场美国250周年庆活动，向美国驻比利时大使 Bill White 提问后，被约8名便衣比利时警察带离并盘问。最该盯住的不是派对失控，而是私人赞助、使馆活动和本地警力叠在一起后，谁有权把记者清出现场。现在仍没说清：谁给了“active threat”标签，谁下达驱离指令，警力和场地费用由谁承担。
欧洲数字身份钱包，别把守门权交给 Google 和 Apple
欧洲多国推进数字身份钱包，部分实现依赖 Google Play Integrity API 和 Apple 设备证明服务。问题不在数字身份证本身，而在公共身份入口可能被平台认证规则卡住。最受影响的是去 Google 化 Android 用户，以及要为政府钱包做适配的开发者和采购方。
美国悬赏1000万美元追查Signal、WhatsApp钓鱼行动：加密没被破，人被绕过了
美国国务院通过Rewards for Justice项目悬赏最高1000万美元，征集俄罗斯关联网络组织UNC5792、UNC4221成员身份或位置线索。关键不在Signal、WhatsApp端到端加密被攻破，而在攻击者用钓鱼消息诱导高价值目标绑定设备、交出备份恢复密钥。
美国最高法院给手机位置数据加锁，地理围栏令状不再好用
美国最高法院以 6:3 裁定，第三方公司保存的手机位置历史受第四修正案保护，警方调取通常需要令状和合理依据。这个裁决会明显削弱地理围栏令状的执法便利性，但法院没有直接宣布这类令状本身违宪，案件还要回到下级法院判断搜查是否合理。
疑似 iPhone 18 Pro 资料上暗网：苹果这次漏的不是外观，是供应链边界
据路透报道，苹果关键供应商 Tata Electronics 数据泄露后，疑似 iPhone 18 Pro 跌落测试照片、零部件清单和供应商信息出现在暗网上。外观照片未必指向最终量产机，真正敏感的是组件、板图、芯片资料和供应商关系。苹果扩大印度制造带来产能弹性，也把保密压力推到了更多供应链节点上。
低剂量辐射证据够硬吗？核能监管最该重算的一笔账
Works in Progress 的文章重新审视切尔诺贝利、福岛、三里岛和台湾钴-60公寓案例，重点不是证明低剂量辐射无害，而是质疑现有证据是否足以支撑严苛核能监管。核事故的真实伤害不能抹掉，但低剂量、长期暴露与癌症之间的证据链，比公众想象中更不稳。真正受影响的是能源政策、核电成本、事故疏散和公共健康风险评估。
美国最高法院给地理围栏令划线：警方批量调手机位置数据属于搜查
美国最高法院以 6 比 3 裁定，警方通过地理围栏令向科技公司索取特定区域、特定时间内手机位置数据，属于第四修正案意义上的搜查。这个判决没有全面禁止地理围栏令，但把它拉回宪法审查轨道，削弱了“数据在第三方公司手里就不算隐私”的执法逻辑。
太空冲突还没开打，美国智库先推演了一个难题：什么时候该回应
米切尔航空航天研究所组织约50名军方、政府、产业和学界专家，推演太空危机场景，并建议美国及盟友提前界定敌对行为和响应门槛。重点不在剧本有多惊险，而在GPS干扰、激光照射、网络攻击和卫星近距离机动正在把太空安全推入灰色地带。归因不清、门槛含混，可能让决策者在该反应时迟疑，也可能在误判中升级。
AI健康助手还没坐稳，美国议员先盯上了数据转卖
美国议员计划在未来几周推出新版《健康与位置数据保护法案》，重点禁止企业把健康和位置数据卖给数据经纪商。新版提案明确覆盖用户输入ChatGPT、Claude、Grok等AI系统的敏感信息，但并不是全面禁止AI处理健康数据。真正的分水岭是：AI医疗产品可以要数据，但不能把最私密的数据变成转卖生意。
WhatsApp 开放用户名预留：别急着当社交功能看
WhatsApp 本周起允许用户提前预留用户名，正式功能会在今年晚些时候上线，并在未来数月按国家逐步推出。它的重点不是让你被更多陌生人搜到，而是在联系非通讯录用户时，少交出手机号。对普通用户，先占住常用名；对个人品牌和组织账号，更要防抢注和冒充。
WhatsApp 开放用户名预留：能少给手机号，但还不是匿名社交
WhatsApp 已开始在部分国家开放用户名预留，正式功能将在今年晚些时候上线；用户名长度为 3 到 35 个字符，可在 Settings > Account > Username 设置、关闭或更改。 这套机制的重点不是“终于能取名”，而是 WhatsApp 仍把手机号留作账号底座：注册还要手机号，用户名不可搜索，还能加 username key。 对普通用户，它更像隐私门闩；对企业和创作者，它能统一入口，但获客效率不会像开放搜索那样直接。
WhatsApp 开始预留用户名：手机号社交的旧债来了
WhatsApp 开始让用户预留用户名，正式聊天功能今年晚些时候推出；上线后可用用户名联系，但注册仍需要手机号。用户名不会在应用内被搜索，只有知道精确用户名的人才能联系，还可加 username key。它不是匿名化革命，更像 30 亿用户产品在隐私压力下迟到补课。