#phishing

Who Gives A Crap? Hackers, apparently, after toilet paper maker's customer data exposed

UK shoppers caught up in third-party security mess, and nobody knows whether the data was flushed away

8 Best Mimecast Alternatives and Competitors in 2026

Bối cảnh Mimecast đang đối mặt với nhiều lựa chọn thay thế cho giải pháp bảo mật email, AI governance, đào tạo nhân viên và lưu trữ email. Nguyên nhân kỹ thuật là do thị trường cần các giải pháp linh hoạt hơn với giá cả cạnh tranh hơn, tạo ra các nền tảng như Proofpoint, Barracuda, và Zix. Hệ quả là doanh nghiệp có thể so sánh 8 lựa chọn thay thế với các tính năng cụ thể và hỗ trợ chuyển đổi. Điều đáng học là bạn cần xem xét các yếu tố như bảo mật AI, khả năng đào tạo nhân viên và chi phí tổng sở hữu để lựa chọn giải pháp phù hợp nhất cho nhu cầu cụ thể.

Bài viết này cung cấp danh sách 8 lựa chọn thay thế Mimecast toàn diện với lời khuyên thực tế giúp bạn nâng cao bảo mật email, quản trị AI, đào tạo nhân viên và lưu trữ.

I got targeted: Trying to get your credentials via a git post-checkout hook

Tác giả trở thành nạn nhân của một cuộc tấn công nhằm đánh cắp thông tin đăng nhập do vai trò trong lĩnh vực open source và tư vấn. Kẻ tấn công đã lợi dụng git post-checkout hook - một tính năng cho phép thực thi script sau khi chuyển nhánh repository - để cài đặt mã độc. Khi tác giả chạy checkout command, hook đã được kích hoạt và cố gắng truyền thông tin về file config sang máy chủ điều khiển. Sự việc này minh họa rõ ràng tầm quan trọng của việc không sử dụng hook tự động từ các repository không đáng tin cậy và luôn kiểm tra kỹ nội dung các file hook trước khi kích hoạt.

Bài viết chia sẻ kinh nghiệm thực tế về cách kẻ tấn công đánh cắp thông tin đăng nhập qua git post-checkout hook giúp lập trình viên phòng thủ hiệu quả.

CTM360 Exposes Fake Gift Card Scams Exploiting Trusted Brands

Scammers are impersonating major brands and celebrities to lure consumers into fake gift card giveaways that collect personal information and trigger unwanted subscriptions. CTM360 reveals how these campaigns use deceptive verification steps and affiliate networks to generate revenue without delivering the promised rewards.

Restaurant Delivery Payment-Skimming Campaign

InfoHawk research has uncovered a network of 820 suspicious restaurant domains impersonating major US chains, including Jersey Mike's, Jimmy John's, Firehouse Subs, Chipotle, and Dave's Hot Chicken. Some are running sophisticated payment-skimming attacks that capture credit card information and ask customers for their bank's SMS verification codes.

Fake OpenAI, SpaceX events used to steal Microsoft, Google accounts

Hackers are using fake OpenAI, SpaceX, and Anthropic event invitations to lure employees into phishing attacks, using two different phishing-as-a-service platforms to steal Microsoft and Google account credentials and authentication sessions.

The Exceptions That Break MFA Start in the Boardroom

The uncomfortable truth about MFA is that its implementation can start running into trouble before the technical rollout is even finished.

MSG Sports Defeated by Phishing Test Offering Knicks Championship Rings

Madison Square Garden's fake championship ring phishing test sparked backlash, raising questions about trust, cybersecurity and resilience.

Everything is an AI scam now

Online scams are getting more sophisticated, a writer argues. Recent YouTube ads pitched a Tai Chi program promising superhero bodies in 20 days, glasses that adapt to any prescription and are sometimes sunglasses, and an air con unit that cools any room in 90 seconds. The author also received a phishing email pitching their book back to them, reusing phrases from their own site description and claiming a perfect 5.0 rating from an earliest reader. The author suspects it was generated by pointing ChatGPT at their site. They call it the new version of the Nigerian Prince scam, more tailored to vulnerable writers and creators.

Google Calendar phishing campaign hijacks sessions, bypasses MFA

A phishing campaign used Google Calendar invites, trusted redirects, and fake login pages to hijack corporate Google sessions and bypass MFA protections. Material Security examines how Operation CloudFire tracked the attacks, blocked malicious messages, and helped take down nearly 900 domains used by the attackers.

When trust becomes the payload: Inside the threats, etc quarterly report

Elastic found 23 RMM abuse cases, a 16-second intrusion, and 8 minutes from infostealer to login. Find out how attackers use signed software you trust.

9 Cyber Awareness Tips That Match Today’s Maze of Threats

Practical guidance on safer search, stronger login security, better executive protection, and other habits that help reduce enterprise risk.

Inside a Microsoft Lookalike Domain Masquerading as Czech Company’s IT Department Infrastructure

By Assaf Morag, Cybercrime Researcher The difference between a trusted brand’s software and ClickFix campaign could be one letter. A false “verify you are human” page lulled victims into a safe sense of security with Microsoft branding and a popup…

Ironscales Now Works in Harmony With HaloPSA

Starting November 1, IRONSCALES works hand in hand with HaloPSA. Since we started working with MSPs, the question behind most of what we build has stayed the same: what would make our partners' days easier? Sometimes the answer is detection.…

How to protect your business from digital banking scams and fraud

Digital banking scams target businesses through fake invoices, OTP fraud and remote access. Here's how to protect your business and its payments.

In the year AI re-wrote the infosec rulebook, it’s comforting to know crypto exchanges still have bad security

Binance freezes funny money after compromise of engineer’s laptop leads to $6.3 billion of bad trades

Anthropic-Themed Phishing Emails Bypass Top Security Tools

Obvious phishing emails with numerous red flags are somehow getting past some of the industry-leading secure email gateway (SEG) products.

Prediction Markets Emerge as a New Vertical for Traffer Teams

Discover how Russian traffer teams use turnkey fraud infrastructure to exploit prediction markets.

Vulnerability exploitation rising as the root cause of many breaches

Attackers feast of unpatched software flaws and system weaknesses.

The Huntress Tragic Quadrant: Ranking Threats Hitting Businesses Hardest

Attackers are increasingly abusing legitimate IT tools, Microsoft 365 sessions, and everyday workflows to compromise businesses without triggering traditional defenses. Huntress Labs ranks the threats hitting organizations hardest, highlighting which attack techniques deserve immediate attention and which remain emerging risks.

Passwordless Authentication and Identity Theft: Can Passkeys Make the Web Safer?

Passkeys use public-key cryptography to stop phishing, credential stuffing, and password database leaks, the most common causes of account takeover. Each passkey is tied to one domain, so a browser won't use it on a lookalike phishing site, and stolen public keys from a breach can't sign in anywhere. But passkeys only protect the login step. Weak account recovery flows, stolen session cookies, and leaked personal data can still lead to identity theft. The piece includes WebAuthn registration and conditional UI code samples, and recommends using a library like SimpleWebAuthn instead of writing verification logic yourself, since synced passkeys often report a zero signature counter that can falsely lock out real users if checked strictly.

Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access

Arctic Wolf has observed a recurring social engineering pattern in more than 400 incidents where threat actors have used Microsoft Teams' external chat creation feature for impersonation scams, or to deliver malicious files.

How Cyble Brand Intelligence Could Have Helped Against The Booking.com ClickFix Campaign

Booking.com's systems were never breached. Its name was. Storm-1865 spent months borrowing Booking.com's identity to get into hotel computers, and every step of that borrowing left traces on the open internet.

Priority Accounts in Microsoft 365: Guarding the People Attackers Want Most

Learn how to tag and protect Microsoft 365 priority accounts using Defender for Office 365, Exchange Online monitoring, MFA, and strict security policies.

What EvilTokens teaches us about defending against AI-assisted attacks

AI is compressing the cyberattack lifecycle. Can defenders keep up?

Trust Is Not What It Seems — And Fraudsters Are Counting on It

Threat actors đang chuyển hướng từ tấn công kỹ thuật sang sử dụng social engineering để đánh lừa nhân viên help desk. Họ sử dụng deepfakes được tạo ra bởi AI để mô phỏng giọng nói và hình ảnh của nhân viên cấp cao, nhằm thuyết phục nhân viên IT cấp quyền truy cập. Một nghiên cứu của VMware cho thấy 74% các tổ chức đã gặp phải tấn công deepfake trong năm 2023. Lập trình viên nên chú trọng bảo vệ các endpoint và thiết lập quy trình xác minh đa yếu tố, đặc biệt khi có yêu cầu thay đổi quyền truy cập đột ngột.

Bài viết này giúp lập trình viên nhận ra mối đe dọa an ninh mạng mới qua lừa đảo xã hội và deepfake AI để phòng ngừa hiệu quả.

Knicks owner faces fan backlash after tricking MSG staff with a fake championship ring phishing test

Chủ tịch đội Knicks đã gây phản ứng dữ dội từ nhân viên Madison Square Garden khi thực hiện bài kiểm tra giả mạo về chiếc nhẫn vô địch. Ông này gửi email giả mạo giả làm từ công ty bảo mật nhắc đến chiếc nhẫn vô địch và yêu cầu xác minh thông tin, thực chất là một cuộc tấn công phishing test. Hậu quả là nhiều nhân viên cảm thấy bị xúc phạm và bị tổn thương tinh thần vì bài kiểm tra này đã lợi dụng thành công đội bóng mà họ yêu mến. Bài học ở đây là các bài test bảo mật cần thiết kế phù hợp với văn hóa tổ chức, tránh sử dụng những yếu tố nhạy cảm gây tổn thương tinh thần nhân viên.

Bài viết này giúp lập trình viên hiểu được ranh giới mỏng manh giữa bài kiểm tra bảo mật và sự thiếu tôn trọng trong môi trường công nghệ.

The Current Landscape of OAuth Attacks

Unit 42 explores modern OAuth threats and actionable steps organizations can take to protect their environments.

Keeper Security Launches AI-Powered Phishing Protection to Block Credential Theft

Keeper Security has launched an AI-powered phishing protection feature in its Keeper Browser Extension to block credential theft. A local AI engine detects look-alike domains, spoofed websites, typosquatting, suspicious IP addresses and unauthorized password request forms, all processed on-device without sending data externally. The article notes that the 2026 Verizon Data Breach Investigations Report found credential abuse was involved in nearly 40% of breaches. The feature is opt-in, disabled by default, and available now in version 18.2.0 of the Keeper Browser Extension, with central management via the Keeper Admin Console for enterprise IT admins.

SPONSORED: When the Attacker Becomes the User: Rethinking Account Takeover

SPONSORED: AI makes phishing easier than ever

Machine speed attacks require machine speed detection and response

Attackers can steal credentials and begin exfiltrating data within minutes, often before security teams can respond. Exaforce examines real-world attacks involving stolen GitHub tokens, malicious AI installers, and MFA phishing, explaining why faster detection and automated containment are critical.

The Lucrative World of Literary Scams

Why writers are the perfect target.

Optiv Launches CyberBOT Cybersecurity Awareness Training Program

Hands-on sessions provide educators, nonprofits, and community leaders with an accessible resource to foster year-round cyber awareness.

ClickFix has never been bigger, and AI tools are its most convincing lure yet

ClickFix attacks are surging as cybercriminals use fake AI installers, malicious search results, and trusted chatbot platforms to trick users into executing malware. Push Security examines how these attacks evade traditional defenses and why AI tools have become increasingly effective lures.

EU wants Booking.com to check out of its scam problem

Commission opens DSA probe into fake listings and phishing on the platform, says its fraud defenses 'absolutely substandard'

8 Best Security Awareness Training Platforms in 2026

Bối cảnh năm 2026, bám sát việc đào tạo nhận thức bảo mật cho các vai trò công việc cụ thể, đối phó với mối đe dọa AI và mô phỏng phishing. Nguyên nhân kỹ thuật nằm ở sự phát triển của các công cụ AI sử dụng Deep Learning và Large Language Models tạo ra email phishing tinh vi hơn. Hệ quả là các nền tảng đào tạo phải liên tục cập nhật để phát hiện và ngăn chặn các tấn công này, đặc biệt với số liệu 65% tổ chức bị tấn công phishing trong năm 2025. Điều đáng học là việc lựa chọn nền tảng phù hợp với role-based learning giúp giảm 42% tỷ lệ nhân viên nhấp vào liên kết độc hại so với các giải pháp chung chung.

Bài này giúp lập trình viên chọn nền tảng đào tạo nhận thức bảo mật phù hợp nhất cho nhu cầu cụ thể của đội ngũ kỹ thuật.

Aikido launches Noon: workforce security for every employee

Aikido vừa ra mắt sản phẩm Noon, tập trung vào security dành cho toàn bộ nhân viên. Giải pháp này bao gồm AI governance, bảo vệ thiết bị và email, cùng các chương trình đào tạo chống lại AI-powered phishing và deepfakes. Sự ra đời của Noon phản ánh nhu cầu cấp thiết trong việc bảo vệ workforce trước các mối đe dọa ngày càng tinh vi từ AI. Công ty đã đầu tư nghiêm túc vào việc phát triển các công cụ này để đảm bảo an ninh cho mọi nhân viên, không chỉ đội ngũ IT.

Bài này giúp lập trình viên hiểu giải pháp bảo mật lực lượng lao động Noon với công nghệ AI chống lại tấn công phishing và deepfake.

Inside the Hunt: Sarah Reddish

Sarah Reddish là SOC analyst tại Huntress, làm việc trong bộ phận Triage & Analysis của global SOC. Cô thường xuyên xử lý các mối đe dọa bảo mật và phân tích các sự cố an ninh mạng cho khách hàng. Quá trình hunt của cô tập trung vào việc xác định và loại bỏ các ransomware, breach và các kỹ thuật tấn công tinh vi. Mỗi ngày, Sarah giúp bảo vệ hệ thống của khách hàng khỏi các nguy cơ bảo mật tiềm ẩn. Công việc đòi hỏi sự kết hợp giữa kỹ năng phân tích dữ liệu và hiểu biết sâu về các kỹ thuật tấn công hiện đại.

Bài viết này giúp bạn hiểu rõ quá trình làm việc thực tế của một SOC analyst như Sarah Reddish trong việc bảo vệ hệ thống.

AI Slop Isn't Just for Social; It's Ruining Cyberattacks, Too

Don't buy the hype! AI has been dumbing down cyberattacks, and serious threat actors are barely touching it.

The GhostX Ecosystem: Forged in Transit, Licensed to Deceive

GhostX ecosystem đặc biệt nhắm đến 60 ứng dụng tài chính và UPI của Ấn Độ thông qua phần mềm độc hại GhostBat RAT. Kẻ tấn công sử dụng kỹ thuật obfuscation code và các lớp mã hóa để tránh phát hiện, cùng với cơ chế anti-analysis trong các file nhị phân RAT. Hệ quả là người dùng có thể bị mất tiền do thông tin đăng nhập bị đánh cắp và giao dịch bất hợp pháp. Điều đáng học là cách GhostX triển khai persistence mechanism và evasion techniques có thể giúp các lập trình viên xây dựng hệ thống phòng thủ hiệu quả hơn.

Lập trình viên nên đọc bài này để hiểu cách mã độc GhostX RAT thao túng ứng dụng tài chính và bảo vệ hệ thống khỏi các tấn công tương tự.