ShinyHunters data leaks fuel $2,000 sextortion email scam

Estée Lauder discloses data breach via Oracle E-Business flaw

Estée Lauder thông báo về vụ rò rỉ dữ liệu sau khi tin tặc khai thác lỗ hổng trong Oracle E-Business Suite, hệ thống mà họ sử dụng cho hoạt động nhân sự (HR).

Lập trình viên nên đọc bài này để hiểu cách các lỗ hổng hệ thống phần mềm—như trong Oracle E-Business Suite—có thể bị khai thác để tấn công dữ liệu cá nhân, giúp họ nâng cao kiến thức về bảo mật ứng dụng và cách phòng ngừa rủi ro từ các lỗ hổng phần mềm.

LastPass confirms data breach in Klue supply chain attack

LastPass xác nhận dữ liệu khách hàng trong môi trường Salesforce bị truy cập sau cuộc tấn công chuỗi cung ứng nhằm vào Klue hôm 12/6. Nhóm tống tiền Icarus đã xâm nhập hạ tầng Klue bằng thông tin đăng nhập cũ, đánh cắp token OAuth kết nối Klue với Salesforce của khách hàng. Dữ liệu bị lộ bao gồm tên, số điện thoại, email, địa chỉ, thông tin hỗ trợ và dữ liệu CRM. LastPass cho biết sản phẩm cốt lõi, dịch vụ và kho dữ liệu khách hàng không bị ảnh hưởng.

Lập trình viên nên đọc bài này để hiểu rõ về cách tấn công supply chain attack hoạt động như thế nào, từ đó nâng cao kiến thức bảo mật cho các ứng dụng và hệ thống của mình, đặc biệt là khi sử dụng các dịch vụ cloud như Salesforce.

Accenture confirms breach after hacker offers stolen data for sale

Accenture xác nhận bị xâm nhập sau khi hacker mang tên '888' tuyên bố đánh cắp 35 GB dữ liệu (bao gồm mã nguồn, RSA keys, SSH keys, tokens Azure PAT) và rao bán trên diễn đàn tội phạm mạng. Hãng khẳng định vụ việc đã được cách ly và khắc phục, không ảnh hưởng tới hoạt động, nhưng không tiết lộ phạm vi dữ liệu bị truy cập hay phương thức tấn công. Đây là lần xâm nhập thứ ba đáng chú ý của Accenture trong vài năm trở lại đây.

Lập trình viên nên đọc bài này để hiểu về các rủi ro nghiêm trọng từ việc lộ thông tin mã nguồn, mật khẩu API và khóa chìa khóa quan trọng trong môi trường phát triển cloud, đặc biệt khi các hacker đang bán dữ liệu này trên thị trường đen để khai thác lợi nhuận từ các vụ tấn công sau đó.

Phishing poses as big-brand job interview to steal Google accounts

Một chiến dịch phishing giả mạo hơn 30 thương hiệu lớn như Adobe, Netflix, Coca-Cola và OpenAI nhằm nhắm vào chuyên gia marketing qua email phỏng vấn việc làm giả. Kẻ tấn công lợi dụng các nền tảng hợp pháp như PeopleForce và Salesforce Marketing Cloud để tạo chuỗi redirect lồng nhau, dẫn nạn nhân đến trang landing độc hại, nơi sử dụng kỹ thuật browser-in-the-browser (BitB) để hiển thị popup đăng nhập Google giả mạo, đánh cắp thông tin tài khoản. Chiến dịch đã hoạt động ít nhất 5 tháng, sử dụng tên và ảnh thật của nhà tuyển dụng để tăng độ tin cậy.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công phishing hiện đại sử dụng kỹ thuật browser-in-the-browser và chaining redirect để trộm mật khẩu Google, từ đó nâng cao kiến thức bảo mật cho ứng dụng web và hệ thống của mình.

ConsentFix and ClickFix: How Microsoft 365 Accounts are Hijacked in 3 Seconds

Hai cuộc tấn công social engineering là ConsentFix và ClickFix lợi dụng các thao tác quen thuộc của người dùng để chiếm quyền tài khoản Microsoft 365 chỉ trong vài giây. ClickFix dụ nạn nhân thực thi lệnh do kẻ tấn công cung cấp thông qua phím tắt bàn phím, trong khi ConsentFix khai thác lỗ hổng OAuth bằng cách lôi kéo người dùng kéo liên kết callback localhost vào trình duyệt, chiếm lấy token phiên làm việc mà không cần mật khẩu hay vượt qua MFA. Đến đầu năm 2026, các hướng dẫn kỹ thuật chi tiết cùng mã nguồn và video hướng dẫn của ConsentFix đã được đăng công khai trên diễn đàn tội phạm mạng Nga, giúp giảm đáng kể rào cản thực hiện tấn công. Để phòng thủ, cần kết hợp nâng cao nhận thức người dùng và triển khai các biện pháp phát hiện kỹ thuật như giám sát hoạt động PowerShell bất thường hay đăng nhập phiên lạ.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công xã hội kỹ thuật số như ConsentFix và ClickFix exploit các quy trình làm việc thông thường của người dùng trong Microsoft 365, giúp họ phát triển các giải pháp bảo mật hiệu quả hơn, từ đó bảo vệ hệ thống và ứng dụng của mình trước các cuộc tấn công mới.

The Most Dangerous Cyber Threats in 2026 Everyone Should Know

Năm 2026, những mối đe dọa mạng nguy hiểm bao gồm lừa đảo bằng AI, giọng nói deepfake, ransomware tống tiền kép, rủi ro từ cấu hình sai trên cloud, tấn công thiết bị di động, tái sử dụng mật khẩu, kỹ thuật xã hội tinh vi và tấn công chuỗi cung ứng. Để phòng tránh, người dùng nên sử dụng quản lý mật khẩu, bật xác thực đa yếu tố (MFA), cập nhật thiết bị thường xuyên và cẩn trọng khi nhấp vào liên kết.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống và ứng dụng của mình trước những mối đe dọa mới nổi từ AI, ransomware và các tấn công phức tạp, từ đó xây dựng các giải pháp bảo mật hiệu quả và phòng ngừa trước các cuộc tấn công trong tương lai.

Top 10 Breaches of the Week

Another edition of Security Boulevard's after-action breach roundup, tracking the most significant incidents.

Man gets six years for hacking 750 women's Snapchat accounts

An Illinois man was sentenced on Tuesday to 76 months in prison and three years of supervised release for hacking the Snapchat accounts of over 750 women to steal nude photos.