Exposed: Woeful security at UK criminal records office that led to sensitive data leak

And the winners are: Announcing the results of the OpenSearch Agent Skills Hackathon

OpenSearch Agent Skills Hackathon vừa công bố 3 dự án chiến thắng, tập trung vào phân tích nguyên nhân gốc rễ log, tuân thủ GDPR, và chẩn đoán truy vấn chậm. Các giải pháp này đều được xây dựng ở chế độ read-only, đảm bảo khả năng kiểm toán hoàn toàn và kèm theo cơ chế đánh giá thực tế. Các dự án thắng lợi minh chứng cho khả năng tùy chỉnh agent trong OpenSearch để giải quyết các bài toán cụ thể. Đây là những minh chứng rõ ràng về tiềm năng của agent skills trong việc tự động hóa các tác vụ phân tích phức tạp trong hệ thống.

Bài viết này tiết lộ ba dự án chiến thắng hackathon OpenSearch Agent Skills với giải pháp phân tích lỗi log, tuân thủ GDPR và chẩn đoán truy vấn chậm.

LastPass confirms data breach in Klue supply chain attack

LastPass xác nhận dữ liệu khách hàng trong môi trường Salesforce bị truy cập sau cuộc tấn công chuỗi cung ứng nhằm vào Klue hôm 12/6. Nhóm tống tiền Icarus đã xâm nhập hạ tầng Klue bằng thông tin đăng nhập cũ, đánh cắp token OAuth kết nối Klue với Salesforce của khách hàng. Dữ liệu bị lộ bao gồm tên, số điện thoại, email, địa chỉ, thông tin hỗ trợ và dữ liệu CRM. LastPass cho biết sản phẩm cốt lõi, dịch vụ và kho dữ liệu khách hàng không bị ảnh hưởng.

Lập trình viên nên đọc bài này để hiểu rõ về cách tấn công supply chain attack hoạt động như thế nào, từ đó nâng cao kiến thức bảo mật cho các ứng dụng và hệ thống của mình, đặc biệt là khi sử dụng các dịch vụ cloud như Salesforce.

A Cautionary Tale About Data Breach Claims, Verification and Carhartt

Bài viết phân tích vụ tvr rằng ShinyHunters tuyên bố lộ 24,8 triệu bản ghi của Carhartt. Khi sử dụng công cụ AI PwnedClaw kết hợp phân tích tay, nhà điều tra phát hiện dữ liệu bị hỗn tạp với dữ liệu tổng hợp TPC-DS từ môi trường Databricks. Sau khi lặp lại lọc bỏ các miền tổng hợp, trùng lặp alias Microsoft 365, tài khoản vô hiệu, miền test và dữ liệu perftest, số bản ghi duy nhất thực sự giảm xuống khoảng 12,9 triệu. Phân tích địa chỉ phụ (ví dụ +carhartt, +paypal) xác nhận phần còn lại thực sự xuất phát từ Carhartt, chứng minh mức độ lạm dụng trong số liệu ban đầu. Kết luận nhấn mạnh việc cần xác minh kỹ lưỡng trước khi công bố con số rò rỉ dữ liệu để tránh gây hiểu lầm và ảnh hưởng uy tín.

Bài này giúp lập trình viên hiểu tầm quan trọng của việc xác minh kỹ lưỡng dữ liệu rò rỉ để tránh tin vào các thống kê bị phóng đại.

How to Log GDPR Consent in Node.js (And Why Your Cookie Banner Isn’t Proof)

Để tuân thủ GDPR, chỉ hiển thị banner cookie "Accept" không đủ; bạn cần ghi lại (log) sự đồng thuận của người dùng. Node.js cung cấp cách thức lưu trữ bằng chứng pháp lý này.

Lập trình viên cần đọc bài này để hiểu cách chính xác ghi nhận sự đồng ý GDPR trong Node.js, tránh rủi ro vi phạm quy định pháp lý khi cookie banner đơn giản chỉ là giao diện thay vì chứng minh sự tuân thủ.

Computer maker Framework notifies ‘all customers’ of a data breach

Framework thông báo tới toàn bộ khách hàng về vụ lộ dữ liệu khi hacker truy cập được tên, email, số điện thoại và địa chỉ vật lý của họ.

Lập trình viên nên đọc bài này để hiểu về an toàn dữ liệu trong ứng dụng phần mềm, đặc biệt là cách bảo vệ thông tin người dùng khi hệ thống bị rò rỉ, từ đó cải thiện kiến thức về bảo mật và xây dựng các giải pháp an toàn cho dự án của mình.

Weekly Update 516: Live From Vietnam

Bản cập nhật tuần 516 của Troy Hunt ghi hình từ Việt Nam đề cập vụ vi phạm bảo mật của Brinks Home Security, nơi hacker sử dụng vishing kết hợp OAuth để đánh cắp dữ liệu, tống tiền nhưng không thành công rồi công khai dữ liệu. Brinks đối mặt kiện tụng tập thể và phản ứng thiếu minh bạch, chỉ thông báo cho khách hàng khi "bắt buộc về mặt pháp lý".

Lập trình viên nên đọc bài này để hiểu cách hacker exploit các lỗ hổng OAuth và vishing, từ đó nâng cao kiến thức bảo mật cho ứng dụng của mình và tránh rủi ro tương tự trong việc xử lý sự cố bảo mật.

Aachen’s amber raised €7mn to sell AI sovereignty to the Mittelstand

The amber Series A raised €7mn from Ventech and a German state bank. Its pitch: structure the data first, and keep it out of US jurisdiction.

Customers of 45 insurers exposed in South African cyberattack

Dữ liệu cá nhân của khách hàng từ 45 công ty bảo hiểm đã bị đánh cắp từ nhà cung cấp CNTT MIP Holdings vào tháng 6. Vụ tấn công đã làm lộ thông tin của một lượng lớn khách hàng sử dụng dịch vụ của MIP Holdings. Nguyên nhân kỹ thuật của vụ rò rỉ chưa được công bố chi tiết nhưng có thể liên quan đến lỗ hổng bảo mật trong hệ thống của MIP Holdings. Hệ quả của sự cố này là khách hàng đối mặt với nguy cơ bị tấn khai tính danh gian lận và lừa đảo trực tuyến. Sự nhấn mạnh vào rủi ro an ninh thông tin khi sử dụng dịch vụ của các nhà cung cấp bên thứ ba là bài học quan trọng từ sự cố này.

Bài viết này giúp lập trình viên hiểu về nguy cơ rò rỉ dữ liệu khách hàng từ nhà cung cấp IT và bài học bảo mật cần rút ra.