FreeBuf早报 | 教育部将发起教育 App 专项清理行动；Facebook 数亿用户电话号码泄漏；Google因违反儿童隐私保护法被罚1.7亿美元

【全球动态】

1.教育部将发起教育 App 专项清理行动

教育部、网信办和工信部等公布了《关于引导规范教育移动互联网应用有序健康发展的意见》，宣布将发起教育 App 专项清理行动：首先是备案，然后是专项治理，到 2020 年底健全教育移动应用管理制度。[阅读原文]

2.600000个GPS跟踪器在线曝光，默认密码为“123456”

捷克网络安全公司Avast的安全研究人员今天透露，一家中国公司生产的至少600,000台GPS追踪器正在使用相同的默认密码“123456”。黑客可以滥用这个密码劫持用户的帐户，他们可以监视GPS跟踪器附近的对话，欺骗跟踪器的真实位置，或者获取跟踪器附加的SIM卡电话号码，以便通过GSM频道进行跟踪。[外刊-阅读原文]

3.企业级 VPN 服务成为黑客攻击的目标

黑客组织 APT5 aka Manganese 正以 Fortinet 和 Pulse Secure 的企业级 VPN 服务为攻击目标。根据 FireEye 的报告，APT5 的活动可以追溯到 2007 年，它被认为有多个小组构成，有着不同的策略和基础设施，主要攻击目标是电信公司和科技攻击，对卫星通信公司有着特殊兴趣。[阅读原文]

4.微软建议Chromium中的白名单改为Allowlist黑名单改为Blocklist

微软在切换到 Chromium 之后递交 bug 报告提议净化代码库，移除会冒犯人的词语比如 whitelist（白名单）和 blacklist（黑名单），建议分别改为 allowlist 和 blacklist。对于微软开发者的提议，Google 工程师表达了谨慎的欢迎，称他们也不希望 Chromium 的代码库会具有潜在的冒犯性，同时表示 Chrome 团队可能不会将净化代码库作为优先考虑事项。[阅读原文]

5.从Web蔓延到内网，BuleHero最新变种来袭

监测到大量设备请求恶意域名cb.fuckingmy.life，该域名注册于今年8月，经安全研究人员排查，确认为BuleHero木马最新变种的C&C服务器。安全专家对捕获到的木马文件进行了详细分析，该变种行为与今年6月份的变种行为相似：去掉了LNK模块，更换了C&C域名和一些攻击组件的名字，但比较特别的是，该变种开始通过Web自动化攻击工具进行传播。[阅读原文]

6.谷歌宣布开源创新隐私保护技术面向所有开发者

9月6日早间消息，谷歌希望让其他公司更方便地保护用户隐私。谷歌周四在官方博客中宣布，将发布差分隐私库的开源版本。差分隐私仍是一种相对较新的数据科学形式。使用这种技术，科技公司可以在不侵犯用户个人隐私的情况下挖掘大量用户数据。[阅读原文]

7.漏洞预警 | Fastjson远程拒绝服务漏洞

经斗安全人员分析Fastjson多个版本存在远程拒绝服务漏洞，Fastjson 1.2.60版本以下存在字符串解析异常，可导致远程拒绝服务攻击。攻击者即可通过精心构造的请求包对使用Fastjson的服务器造成远程拒绝服务攻击，可导致服务器宕机。[阅读原文]

【安全事件】

1.Facebook 数亿用户电话号码泄漏

储存数亿 Facebook 用户关联电话号码的服务器被发现没有任何密码保护就能访问。暴露的服务器包含了超过 4.19 亿条记录，其中包括 1.33 亿美国用户，1800 万英国用户，5000 多万越南用户。每一条记录包含了用户唯一的 Facebook ID 和电话号码。一些记录还包含了用户的姓名、性别和国别。GDI Foundation 的安全研究员 Sanyam Jain 发现了无密码保护的数据库，因无法识别所有者而联络了 TechCrunch，在联络了托管商之后数据库已经下线。[阅读原文]

2.Google因违反儿童隐私保护法被罚1.7亿美元

联邦贸易委员会 (FTC)宣布，Google/YouTube 因违反儿童在线隐私保护法（Children’s Online Privacy Protection Act，OPPA）被罚 1.7 亿美元。这是 FTC 至今开出的最大民事罚单。COPPA 对收集和使用 12 岁以下儿童的信息施加了限制，根据 COPPA，网站和应用等在收集儿童信息时需要征得父母的同意或给予父母选项退出与第三方的儿童信息分享，以及允许父母查看收集的儿童数据。[外刊-阅读原文]

3.谷歌被指控向数千名广告客户泄露个人数据

Brave是一家基于Chromium的谷歌浏览器竞争对手的制造商，该公司表示，它有新的证据表明谷歌正在向广告商泄露个人信息，并违反欧洲有关数据控制和透明度的隐私法律。 [外刊-阅读原文]

4.西瓜视频等42款App违规：超范围收集用户信息

日前，广东省公安机关持续开展超范围收集用户信息App清理整治专项行动，2019年8月份共监测发现250余款APP存在超范围收集用户信息行为。其中“西瓜视频”“贝壳找房”等42款APP，存在超范围读取用户通话记录、短信或彩信，收集用户通讯录、用户设备上已知账号，超权限使用用户设备麦克风等突出安全问题。[阅读原文]

5.ZAO更新用户协议删除可免费使用用户肖像权条款

日前，在用户协议条款引发大量争议后，AI换脸App“ZAO”更新了隐私协议以及用户协议。在新版协议中，此前颇受争议的“您同意或者确保实际权利人同意授予ZAO及其关联公司以及ZAO用户全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利”，以及“如果您把用户内容中的人脸换成您或其他人的脸，您同意或确保肖像权利人同意授予ZAO及其关联公司全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利”两段表述已经删去。 [阅读原文]