4.6 万笔员工资料现身境外网站，台积电称源头在云服务商
微软云大故障：Microsoft 365 多服务中断，第三方 AI 连接器同断
马士基证实收购遗留系统被入侵并发生数据提取
周生生公告：会员系统及官方电商渠道遭未授权存取
菲律宾十余个政府部门报告数据泄露，隐私委员会确认
4837 个 GitHub 账号被劫持，CI 凭证窃取脚本在至少 1806 个仓库运行
一把 Claude API 密钥就能驱动内网代理：memory stores 被用作隐蔽通道
CNNVD 第 44 期周报：采集 2855 个漏洞，三例 AI 组件漏洞列入重要实例
工信部通报 72 款 App 下架，无障碍服务调用有新标准
欧盟《数字公平法案》草案：暗黑模式入禁，罚则挂钩全球营收
4.6 万笔员工资料现身境外网站，台积电称源头在云服务商
11 月 12 日，中国台湾地区台积电证实部分在职及离职员工信息被未经授权置于外部网站，初步了解这些资料与某家云端服务供应商系统中的资料相符；目前没有证据显示台积电自身资料系统遭入侵，资料与生产及客户资料无关。公司已陆续通知受影响人员，与该云端服务供应商、调查机关及第三方网络安全机构共同排查。此前有卖家在境外论坛声称掌握约 6.9GB、4.6 万笔记录并释出 499 笔样本（据媒体报道含姓名、证件字号、联系方式等 19 类字段），开价 3 枚比特币；上述数量、内容与售价均出自卖家声称，未获独立核实。
泄露源头从“自己被攻破”变成了“供应商那侧的资料副本”。企业把自家系统审了一遍，却审不到供应商手里那份——数据一旦离开自己的边界，安全责任仍留在原地，可见性却没有跟过去。这与本期马士基（失守于收购来的遗留系统）、周生生（直面消费者的会员与电商渠道）构成同一条主线：失守环节越来越多落在链条上自己够不到的位置。
建议动作：在下一次供应商评估里加四问——哪些字段存在对方系统、留存多久、谁能查、导出有没有日志；答不上来的，就是风险留存的位置。
原文链接：https://www.sec.gov/Archives/edgar/data/1046179/000104617926000800/a20261112statementregardin.htm
https://www.cna.com.tw/news/afe/202611120132.aspx
https://news.qq.com/rain/a/20261112A0AXGL00
微软云大故障：Microsoft 365 多服务中断，第三方 AI 连接器同断
美东时间 11 月 12 日，微软发生大规模云服务故障，Microsoft 365 管理中心以 MO1550821（Microsoft 365）与 EX1550543（Exchange Online）两个编号跟踪，Outlook、Exchange Online、Teams、SharePoint、OneDrive、Copilot、Defender XDR 等受影响。
微软称故障起于美东 13:26，初判为区域负载过高，后确认并非流量上涨，而是一批服务器意外离线、未通过自动健康检查。据 Downdetector 数据，美东 13:00 前后 Outlook 报障一度接近 8.3 万条（报障数不等于受影响用户数）。第三方集成同步中断：OpenAI 与 Anthropic 接入 Microsoft 365 账号的连接器均报告异常，Copilot 与竞品 AI 服务无法读取用户邮箱。依赖单一云租户做邮件与协作的企业，应把“云端全断时走哪条替代通道”写进应急预案。
原文链接：https://status.cloud.microsoft
马士基 11 月 11 日发布客户通知，确认一套来自既往收购的本地遗留系统遭未授权访问并发生数据提取，初步评估无敏感数据外泄，客户平台与 API、EDI 连接未受影响；一个勒索团伙声称窃取约 100GB 数据并索要 500 万美元，相关说法未获马士基证实。有并购整合与遗留系统存量的企业，宜将其纳入统一安全基线。
原文链接：https://www.maerskline.com/news/articles/2026/11/11/it-security-incident
周生生 11 月 12 日晚在港交所公告，系统遭未经授权存取，11 月 9 日首次识别事件，受影响系统包括会员体系及官方电商渠道，部分客户及员工资料可能被提取、尚待核实；公司已通报香港个人资料私隐专员公署与香港警务处，官网当晚显示维修中。经营会员体系与自有电商渠道的零售企业，应把公告、监管通报、用户通知三步响应纳入演练。
原文链接：https://www1.hkexnews.hk/listedco/listconews/sehk/2026/1112/2026111201493_c.pdf
菲律宾国家隐私委员会确认，近期收到多个政府部门遭网络攻击并发生数据泄露的报告，涉及信息和通讯技术部、证券交易委员会、税务局、司法部等，评估称涉及数百万条个人与企业记录；总统府表示已做好应对准备，隐私委员会提醒防范借泄露担忧实施的钓鱼与诈骗。与菲律宾机构有数据与业务交互的企业，需评估对端暴露风险。
原文链接：https://www.chinanews.com.cn/gj/2026/11-13/10731240.shtml
4837 个 GitHub 账号被劫持，CI 凭证窃取脚本在至少 1806 个仓库运行
安全厂商 Aikido Security 披露，自 11 月 10 日起，攻击者使用 4837 个被盗 GitHub 账号，向账号可写入的仓库推送 CI 凭证窃取脚本，已确认至少 1806 个仓库执行；SafeDep 统计 11 月 10 日 12:46 UTC 至 12 日 04:36 UTC 间共 8093 个仓库收到恶意提交（仅统计公开仓库默认分支，实际数量更高）。
窃取目标除 GitHub Actions 密钥、云凭证、SSH 密钥与 shell 历史外，还包括 OpenAI、Anthropic、Cursor、Copilot 等 AI 工具令牌。脚本会在 AWS 创建长期密钥、改写角色信任策略，并在 Azure 添加联邦身份凭证，使轮换密钥之后访问仍可存续；少量开源包版本被污染。受影响仓库应按“已在攻击者手里”处理：吊销令牌与 OAuth 授权、轮换全部密钥，并到云侧排查后门，只换密钥不够。
原文链接：https://thehackernews.com/2026/11/4837-hijacked-github-accounts-ran-ci.html
一把 Claude API 密钥就能驱动内网代理：memory stores 被用作隐蔽通道
Darktrace Signal Labs 11 月 12 日公布实验室研究：在不利用 Claude 平台漏洞的前提下，攻击者先取得开发者主机上的 Claude API 凭证，再借平台的 memory stores（跨会话记忆存储）下发指令、回收结果，把 Claude Code 变成受远程控制的植入体。由于读写都经 api.anthropic.com，流量与正常编码代理没有区别；实验室在模拟企业域环境中用 9 条自然语言指令跑通了从内网探测到 1GB 文件外传的完整链条，该手法尚未在野外观测到。标准 API 密钥可达 memory stores，OAuth 凭证没有这条路径；OpenAI 平台存在等价的文件上传接口。
研究建议：优先用 OAuth 或身份联邦，密钥短有效期、窄权限，并按行为基线监测 AI 进程的参数与流量比例异常。
原文链接：https://www.darktrace.com/fr/blog/living-off-the-ai-shared-memories-as-a-covert-c2-channel
CNNVD 第 44 期周报：采集 2855 个漏洞，三例 AI 组件漏洞列入重要实例
国家信息安全漏洞库（CNNVD）发布 2026 年第 44 期周报，统计周期 11 月 2 日至 8 日：采集公开漏洞 2855 个，新增数量较上周下降；超危 330 个、高危 1085 个、中危 1273 个、低危 167 个，合计 2406 个已有补丁发布、整体修复率 84.27%。厂商侧谷歌新增数量居首（354 个，12.40%），类型侧授权问题占 18.81%；国内厂商漏洞 157 个、联发科技以 56 个居首，国内厂商整体修复率 80.25%，低于总体水平。
重要实例中三例来自 AI 组件：Flowise 3.1.4 及之前版本沙箱逃逸、DeepSeek Harness 0.1.2-alpha.2 之前版本缺少用户身份验证、MLflow 3.8.0 服务端请求伪造，厂商均已发布补丁。自建 AI 应用与智能体运行时的团队，按这三类问题对照版本清单。
原文链接：https://mp.weixin.qq.com/s?__biz=MzAxODY1OTM5OQ==&mid=2651465747&idx=1&sn=d3c33ab7ce296112ba99e957ce0d670d
工信部通报 72 款 App 下架，无障碍服务调用有新标准
工信部通告 2026 年三季度电信服务质量：App 抽测 42 批次，责令整改 967 款、通报 163 款、下架 72 款；同期发布《无障碍服务安全管理和使用技术要求》团体标准，对 App 调用无障碍服务的信息明示、权限申请、能力约束提出要求。无障碍权限是安卓侧恶意程序的常用入口，做无障碍功能与终端授权的团队需对照自查。
原文链接：https://www.cnii.com.cn/dzxx/202611/t20261112_769102.html
欧盟《数字公平法案》草案：暗黑模式入禁，罚则挂钩全球营收
欧盟委员会 11 月 11 日正式提出《数字公平法案》提案，禁止操纵性界面设计、要求成瘾性功能可关闭、订阅取消更便捷，并为 AI 代理代购设定授权边界与利益披露规则；配套修法拟赋予欧委会直接处罚权，上限为全球年营业额 6%。在欧盟有 App 与订阅业务的企业需提前评估界面与取消流程。
原文链接：https://commission.europa.eu/news-and-media/news/making-your-online-experience-fairer-2026-11-11_en
安全失守点已逐渐分散在几类过去不算“防线”的位置——云服务商手里的资料副本、收购来的遗留系统、直面消费者的会员渠道，以及 CI 流水线与 AI 代理手里那把能直接兑换成云权限的钥匙。
云服务商手里的资料副本、收购来的遗留系统、直面消费者的会员渠道，以及 CI 流水线与 AI 代理手里那把能直接兑换成云权限的钥匙。云服务商手里的资料副本、收购来的遗留系统、直面消费者的会员渠道，以及 CI 流水线与 AI 代理手里那把能直接兑换成云权限的钥匙。
联系我们
合作电话：18610811242
合作微信：aqniu001
联系邮箱：bd@aqniu.com
