透明性は私たちの企業運営の根幹をなすものです。最近発生したサードパーティベンダーによるセキュリティインシデントに関する声明をご覧ください。調査結果および、お客様の情報を保護するために講じた対策について記載しております。
Nguồn: https://www.recordedfuture.com/blog/klue-security-incident-jp. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đọc tin ở đây, luyện code, học theo lộ trình và luyện IELTS trên các sản phẩm anh em — tất cả kết nối với nhau trong hệ sinh thái 8 Sync Dev.
Cổng chính của hệ sinh thái: giới thiệu sản phẩm, blog và bảng giá trọn bộ.
Khám pháHọc theo lộ trình với video, quiz chấm tự động, certificate và mentor đang làm nghề.
Xem khóa họcLuyện thuật toán chấm tự động 7 ngôn ngữ, chạy code ngay trên trình duyệt.
LastPass xác nhận dữ liệu khách hàng trong môi trường Salesforce bị truy cập sau cuộc tấn công chuỗi cung ứng nhằm vào Klue hôm 12/6. Nhóm tống tiền Icarus đã xâm nhập hạ tầng Klue bằng thông tin đăng nhập cũ, đánh cắp token OAuth kết nối Klue với Salesforce của khách hàng. Dữ liệu bị lộ bao gồm tên, số điện thoại, email, địa chỉ, thông tin hỗ trợ và dữ liệu CRM. LastPass cho biết sản phẩm cốt lõi, dịch vụ và kho dữ liệu khách hàng không bị ảnh hưởng.
Lập trình viên nên đọc bài này để hiểu rõ về cách tấn công supply chain attack hoạt động như thế nào, từ đó nâng cao kiến thức bảo mật cho các ứng dụng và hệ thống của mình, đặc biệt là khi sử dụng các dịch vụ cloud như Salesforce.
AI cho doanh nghiệp B2B: chat đa kênh AI phản hồi, gom lead tiềm năng, phân loại khách hàng.
Sắp ra mắtBài viết hướng dẫn toàn diện về bảo mật xác thực trong ứng dụng web hiện đại, từ lưu trữ JWT trong localStorage (dễ bị XSS đánh cắp) đến giải pháp an toàn hơn như token trong bộ nhớ, cookie httpOnly kết hợp bảo vệ CSRF, phiên server-side so với JWT, xoay vòng refresh token OAuth, và mô hình Backend for Frontend (BFF). Khuyến nghị chính là lưu phiên trong cookie httpOnly kèm server-side session store, sử dụng CSRF token cùng SameSite/Origin header, và đẩy toàn bộ xử lý token OAuth vào BFF để trình duyệt không bao giờ tiếp xúc trực tiếp. Ngoài ra, bài viết cũng đề cập đến mối đe dọa mới nổi là infostealer/pass-the-cookie và giải pháp bảo vệ cấp phần cứng DBSC của Chrome, kèm theo ví dụ code React để xử lý yêu cầu refresh token đồng thời.
Là người phát triển cần hiểu cách bảo mật xác thực hiện hiệu nhất để tránh các lỗ hổng như XSS, CSRF, và tấn công mới như pass-the-cookie, đồng thời tối ưu hóa hiệu suất và bảo mật cho ứng dụng hiện đại.
XAA là khung danh tính của Okta thay thế API keys tĩnh và OAuth rải rác bằng cơ chế truyền token dựa trên danh tính giữa các ứng dụng. Để tích hợp XAA vào OIN, ISV phải hỗ trợ OIDC/SAML SSO, triển khai ID-JAG token exchange flows, vượt qua bài test xác minh rồi gửi form chi tiết qua email tới Okta OIN team.
Lập trình viên phát triển ứng dụng cần đọc để hiểu cách xây dựng kết nối bảo mật Cross App Access (XAA) trên Okta, tránh rủi ro bảo mật và tối ưu hóa tính liên kết giữa các ứng dụng theo tiêu chuẩn hiện đại.
Hai cuộc tấn công social engineering là ConsentFix và ClickFix lợi dụng các thao tác quen thuộc của người dùng để chiếm quyền tài khoản Microsoft 365 chỉ trong vài giây. ClickFix dụ nạn nhân thực thi lệnh do kẻ tấn công cung cấp thông qua phím tắt bàn phím, trong khi ConsentFix khai thác lỗ hổng OAuth bằng cách lôi kéo người dùng kéo liên kết callback localhost vào trình duyệt, chiếm lấy token phiên làm việc mà không cần mật khẩu hay vượt qua MFA. Đến đầu năm 2026, các hướng dẫn kỹ thuật chi tiết cùng mã nguồn và video hướng dẫn của ConsentFix đã được đăng công khai trên diễn đàn tội phạm mạng Nga, giúp giảm đáng kể rào cản thực hiện tấn công. Để phòng thủ, cần kết hợp nâng cao nhận thức người dùng và triển khai các biện pháp phát hiện kỹ thuật như giám sát hoạt động PowerShell bất thường hay đăng nhập phiên lạ.
Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công xã hội kỹ thuật số như ConsentFix và ClickFix exploit các quy trình làm việc thông thường của người dùng trong Microsoft 365, giúp họ phát triển các giải pháp bảo mật hiệu quả hơn, từ đó bảo vệ hệ thống và ứng dụng của mình trước các cuộc tấn công mới.
AWS API Gateway thiếu quy trình đăng ký ứng dụng hay luồng OAuth tự phục vụ công khai, khiến nó không tương thích với mô hình onboarding tự động. Người viết so sánh AWS với mô hình lý tưởng như SoundCloud, nơi script có thể đăng ký ứng dụng và nhận credentials theo chương trình. Do AWS yêu cầu credentials phải xuất phát từ ranh giới tin cậy của chủ tài khoản, giải pháp khả thi nhất là tạo API key và gắn vào usage plan thông qua yêu cầu SigV4-signed tới control plane. Bài viết cung cấp script Node.js (không phụ thuộc, chỉ dùng thư viện chuẩn) triển khai ký SigV4 thủ công và gọi CreateApiKey, CreateUsagePlanKey. Tác giả cho rằng đây là hạn chế về triết lý, không phải kỹ thuật, và kêu gọi AWS cung cấp endpoint đăng ký có phạm vi, có thể thu hồi cho agent.
Lập trình viên cần đọc bài này để hiểu cách tự động hóa đăng ký và quản lý API trên AWS API Gateway bằng cách sử dụng API keys và SigV4, giúp tiết kiệm thời gian và tránh rủi ro liên quan đến OAuth thủ công.
RSK đã fork IdentityServer4 thành Open.IdentityServer, phiên bản miễn phí và mã nguồn mở cho OpenID Connect và OAuth 2.0 trên .NET, nhằm thay thế phiên bản thương mại của Duende Software. Open.IdentityServer 1.0.0 ra mắt tháng 6/2025 với giấy phép Apache 2.0, hỗ trợ di chuyển dễ dàng từ Duende chỉ bằng thay đổi NuGet package.
Nếu bạn đang phát triển ứng dụng .NET sử dụng OAuth 2.0/OpenID Connect và muốn có một giải pháp mã nguồn mở, hỗ trợ lâu dài mà không phụ thuộc vào các giải pháp thương mại, thì Open.IdentityServer là lựa chọn thay thế đáng tin cậy và dễ triển khai ngay hôm nay.
Quy trình phát triển theo hướng thiết kế (design-first) cho các agent trên Salesforce (Agentforce) sử dụng trợ lý lập trình như Claude Code hay Codex kết hợp với Agent Skills, bao gồm cài đặt thư viện kỹ năng, khởi tạo dự án, thiết kế trước khi code, sinh metadata tự động với vòng lặp sửa lỗi, kiểm thử bằng smoke test và YAML, debug qua traces. Thực hành quan trọng: không cấp quyền sản xuất cho agent, giới hạn phạm vi triển khai, và commit Agent Script vào source control.
Lập trình viên nên đọc để hiểu cách xây dựng các hệ thống agent tự động hóa trên Salesforce một cách hiệu quả, từ thiết kế trước đến triển khai, giúp tối ưu hóa hiệu suất, giảm lỗi và đảm bảo an toàn thông qua các quy trình tự động hóa và kiểm thử chuyên nghiệp.

AWS đã bổ sung hỗ trợ OAuth cho AWS MCP Server, giúp các tác nhân AI kết nối trực tiếp thông qua AWS Sign-In với tiêu chuẩn OAuth 2.0. Nhà phát triển có thể ủy quyền cho tác nhân qua trình duyệt hoặc theo cách không tương tác, trong khi quản trị viên có thể quản lý quyền truy cập bằng chính sách IAM cùng các tính năng OAuth mới như global condition keys, token introspection, revocation APIs, đăng ký client động và sự kiện audit CloudTrail.
Lập trình viên nên đọc bài này để khám phá cách tích hợp OAuth 2.0 vào AWS MCP Server, giúp tối ưu hóa kết nối cho các ứng dụng AI và mở rộng khả năng bảo mật, quản lý quyền và tuân thủ thông qua các công cụ mới như IAM, token quản lý và theo dõi hành động.