https://cybersecuritynews.com/powerschool-massive-data-breach/

来源：

https://cybersecuritynews.com/grubhub-data-breach/

来源：

https://hackread.com/belsen-group-leaks-fortigate-firewall-configurations/

4.1.1.海南发布商超消费领域个人信息保护合规指引，涉及门店APP、小程序运行规范

《海南省商场超市消费领域个人信息保护合规指引》于2025年1月9日发布，旨在增强商场超市对消费者隐私信息的保护。《指引》要求商场超市经营者在使用APP和小程序时，必须明确提示消费者隐私政策并取得明确同意，确保个人信息的收集和使用符合授权范围。此外，经营者不得随意共享消费者的个人信息或发送个性化商业信息，需保障消费者在信息保护中的自主权。

来源：

http://www.hkwb.net/news/content/2025-01/10/content_4312159.htm

4.1.2.国家计算机病毒应急处理中心监测发现16款违规移动应用

国家计算机病毒应急处理中心依据《网络安全法》《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规及相关国家标准要求，近期通过互联网监测发现16款移动App存在隐私不合规行为。

国家计算机病毒应急处理中心提醒广大手机用户谨慎下载使用以上违规移动App，注意认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。

https://mp.weixin.qq.com/s/7V6FHFZ8s53AtYePIlSiaw

4.2.1.新型Android恶意软件模仿聊天应用窃取敏感数据

据Cyber Security News消息，Cyfirma 的网络安全研究人员最近发现了一个针对南亚用户，尤其是印度克什米尔地区用户的复杂 Android 恶意软件活动，通过伪装成一款名为“Tanzeem” 的聊天应用程序以窃取目标设备中的敏感数据。该恶意软件利用了流行的客户参与平台 OneSignal，通过推送网络钓鱼链接进行传播。技术分析显示，伪装成“Tanzeem”的恶意软件在安装后就停止运行，但背后已经请求了多项敏感权限，包括访问通话记录、联系人、短信、文件存储和精确位置数据。它还试图提取用于登录各种互联网平台的电子邮件和用户名权限。

来源：

https://thehackernews.com/2025/01/donot-team-linked-to-new-tanzeem.html

4.2.2.用户集体起诉Siri“偷听”，苹果花9500万美元和解

2025年1月3日消息，科技巨头苹果公司同意支付9500万美元现金，以和解一项拟议的集体诉讼，该诉讼声称其Siri语音助手侵犯了用户的隐私。此次诉讼的起因源于有美国用户反映，Siri在未被明确唤醒时，似乎会自动激活并记录周边声音信息。例如，一些用户在家中私下交谈时，Siri指示灯突然亮起，他们担心自己的私人对话被收集上传。随着类似反馈越来越多，消费者权益保护组织代表广大用户向苹果公司提起集体诉讼，指控苹果侵犯用户隐私，通过Siri收集用户日常对话，用于改善服务或其他未公开用途，且未充分征得用户同意。这份和解协议涵盖了2014年9月17日至2024年12月31日期间使用Siri的美国用户，涉及数千万人。每位参与诉讼的用户最多可为5台Siri设备申请赔偿，每台设备最高可获得20美元。此外，苹果公司需在六个月内永久删除2019年10月前收集的Siri个人音频记录。

来源：

https://h5.stcn.com/pages/detail/detail?id=1478210&jump_type=reported_info

4.2.3.安卓推出"身份验证"新功能，增强设备防盗保护

近日，谷歌宣布在安卓系统中推出一项新的"身份验证"安全功能，当用户离开受信任的位置时，该功能将要求使用生物识别认证来访问敏感的设备设置。这一新功能是安卓防盗保护套件的一部分。"身份验证"功能旨在通过要求用户在离开受信任位置时使用生物识别认证，来增强安卓系统对关键账户和设备设置的保护。需要生物识别认证的敏感操作包括:执行恢复出厂设置、更改屏幕锁定、注册新指纹、关闭"查找我的设备"功能、添加谷歌账户、访问开发者选项以及打开谷歌密码管理器等。该功能还为谷歌账户启用了"增强保护"，并在符合条件的设备上为三星账户提供了额外的安全保护。

来源：

https://www.bleepingcomputer.com/news/security/new-android-identity-check-locks-settings-outside-trusted-locations/

4.2.4.三星修复手机上的零点击漏洞，可导致系统进程崩溃

近日，三星发布安全更新，修复了其旗舰手机 Galaxy S23 和S24 中的一个严重的零点击安全漏洞（CVE-2024-49415），涉及 Monkey’s Audio (APE)解码器，影响 Android 12 、13 和14 版本，允许攻击者在不需要用户操作的情况下攻击设备。谷歌建议用户在补丁发布之前采取以下措施：如不必要，禁用 RCS 消息；避免通过消息应用或文件浏览器打开或播放不可信的音频文件；尽快应用三星提供的安全更新。

来源：

https://cybersecuritynews.com/samsung-0-click-vulnerability-fixed/

4.2.5.新型安卓恶意软件FireScam来袭，实时窃取用户敏感信息

新型安卓恶意软件FireScam正在通过模仿俄罗斯移动应用市场 RuStore 的钓鱼网站，以Telegram应用的高级版本进行传播。根据威胁管理公司Cyfirma的研究，伪装成 RuStore 的恶意 GitHub 页面首先提供一个名为 GetAppsRu.apk的投放模块。该模块使用DexGuard进行混淆以避免检测，并获取权限以识别已安装的应用程序、访问设备存储并安装其他包。随后，它提取并安装主要的恶意软件载荷“Telegram Premium.apk”，该应用请求监控通知、剪贴板数据、短信和电话服务等权限。

来源：

https://www.bleepingcomputer.com/news/security/new-firescam-android-data-theft-malware-poses-as-telegram-premium-app/