Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Privacy

Privacy

Kerentanan Kritis dalam Produk Hikvision

by

Kerentanan tersebut dilacak sebagai CVE-2023-28808, telah dijelaskan oleh vendor sebagai masalah kontrol akses yang dapat dimanfaatkan untuk mendapatkan izin administrator dengan mengirimkan pesan yang dibuat khusus ke perangkat target.

Produk yang terpengaruh digunakan oleh organisasi untuk menyimpan data keamanan video, dan penyerang yang mengeksploitasi kerentanan dapat memperoleh akses ke data tersebut.

Dalam pemberitahuan yang dikirim oleh Hikvision kepada mitra – salinannya juga dibagikan dengan SecurityWeek – perusahaan mengatakan tidak mengetahui eksploitasi di alam liar.

“Meskipun Hikvision tidak mengetahui kerentanan ini dieksploitasi di lapangan, kami menyadari bahwa beberapa mitra kami mungkin telah memasang peralatan Hikvision yang terpengaruh oleh kerentanan ini dan kami sangat menganjurkan mereka untuk bekerja sama dengan pelanggan mereka untuk memasang tambalan dan memastikan perbaikan yang tepat. kebersihan dunia maya, ”perusahaan itu memberi tahu para mitra.

Hikvision mencatat dalam penasehatnya bahwa penyerang perlu memiliki akses jaringan ke perangkat yang ditargetkan untuk mengeksploitasi CVE-2023-28808.

Namun, Arko Dhar, CTO Redinent, perusahaan keamanan siber CCTV dan IoT yang berbasis di India yang dikreditkan untuk menemukan kerentanan tersebut, mengatakan kepada SecurityWeek bahwa banyak sistem yang terkena dampak terpapar ke internet dan eksploitasi jarak jauh dimungkinkan.

“Penyimpanan Hybrid SAN terutama dimaksudkan untuk menyimpan rekaman video CCTV. Tetapi juga dapat dikonfigurasi untuk menyimpan data bisnis. Dampaknya sangat luas – penyerang dapat menghapus rekaman video dan data bisnis pada saat yang sama, menghapus cadangan, dan menyebabkan dampak yang signifikan bagi bisnis,” Dhar memperingatkan.

Peneliti Redinent menemukan kerentanan tersebut pada akhir Desember 2022 dan cacat tersebut dilaporkan ke vendor melalui CERT India pada bulan Januari.

Hikvision mengumumkan pada 10 April bahwa patch disertakan dalam versi 2.3.8-8 untuk Hybrid SAN dan versi 1.1.4 untuk perangkat penyimpanan klaster. Vendor telah memberikan instruksi terperinci untuk menginstal pembaruan.

Selengkapnya: Security Week

AS menuduh Shein, Mengumpulkan risiko data dalam tindakan terbaru yang menargetkan aplikasi yang didukung China

by

Platform digital yang didukung China Shein dan Temu telah menjadi target terbaru pemerintah AS, setelah sebuah laporan resmi menimbulkan kekhawatiran atas risiko data dan praktik bisnis lainnya.

Komisi Peninjauan Ekonomi dan Keamanan AS-Tiongkok (USCC), yang dibuat oleh Kongres pada tahun 2000, menerbitkan laporan pada hari Jumat yang menuduh dua aplikasi populer dan platform Tiongkok serupa lainnya atas kemungkinan risiko data, pelanggaran sumber, dan pelanggaran kekayaan intelektual.

Ini mewakili reaksi politik terbaru terhadap bisnis China setelah aplikasi video pendek TikTok, yang dimiliki oleh ByteDance yang berbasis di Beijing, dilarang di perangkat federal AS karena masalah data. Pada hari Jumat, Montana menjadi negara bagian AS pertama yang meloloskan undang-undang yang melarang pengunduhan aplikasi di negara bagian tersebut.

Laporan USCC terutama berfokus pada Shein, platform mode cepat populer yang didirikan di China dan sekarang berkantor pusat di Singapura. Aplikasi Shein “meminta pengguna membagikan data dan aktivitas mereka dari aplikasi lain, termasuk media sosial, dengan imbalan diskon dan penawaran khusus untuk produk Shein”, kata laporan itu.

Selengkapnya: SCMP

Kejahatan dunia maya: berhati-hatilah dengan apa yang Anda katakan kepada pembantu chatbot Anda…

by

Kekhawatiran tentang meningkatnya kemampuan chatbot yang dilatih pada model bahasa besar, seperti GPT-4 OpenAI, Bard Google, dan Bing Chat Microsoft, menjadi berita utama.

Para ahli memperingatkan tentang kemampuan mereka untuk menyebarkan informasi yang salah dalam skala yang sangat besar, serta risiko eksistensial yang dapat ditimbulkan oleh perkembangan mereka terhadap umat manusia.

Seolah-olah ini tidak cukup mengkhawatirkan, area perhatian ketiga telah terbuka – diilustrasikan oleh larangan ChatGPT Italia baru-baru ini atas dasar privasi.

Regulator data Italia telah menyuarakan keprihatinan atas model yang digunakan oleh pemilik ChatGPT OpenAI dan mengumumkan akan menyelidiki apakah perusahaan tersebut telah melanggar undang-undang perlindungan data Eropa yang ketat.

Chatbots dapat berguna untuk pekerjaan dan tugas pribadi, tetapi mereka mengumpulkan data dalam jumlah besar. AI juga menimbulkan banyak risiko keamanan, termasuk kemampuan untuk membantu penjahat melakukan serangan dunia maya yang lebih meyakinkan dan efektif.

Kebanyakan orang menyadari risiko privasi yang ditimbulkan oleh mesin pencari seperti Google, tetapi para ahli berpendapat bahwa chatbot bisa jadi lebih haus data.

Sifat percakapan mereka dapat membuat orang lengah dan mendorong mereka untuk memberikan lebih banyak informasi daripada yang mereka masukkan ke dalam mesin pencari. “Gaya seperti manusia dapat melumpuhkan pengguna,” kata Ali Vaziri, direktur hukum di tim data dan privasi di firma hukum Lewis Silkin.

Selengkapnya: The Guardian

Microsoft meriliskan perbaikan untuk Windows 11 screenshot bug privasi

by

Microsoft telah merilis sepasang pembaruan darurat untuk mengatasi kelemahan keamanan “aCropalypse” yang ditemukan dalam aplikasi pengeditan screenshot Windows 10 dan 11 aslinya. Seperti yang dilaporkan Bleeping Computer, perusahaan mulai menguji perbaikan vulnerabilty awal pekan ini tak lama setelah ditemukan oleh pensiunan insinyur perangkat lunak Chris Blume.

Pada Jumat malam, Microsoft mulai meluncurkan pembaruan publik untuk Snipping Tool Windows 11 serta aplikasi Snip & Sketch Windows 10. Anda dapat secara manual meminta Windows untuk menambal aplikasi yang Anda gunakan dengan membuka Microsoft Store dan mengeklik “Library”, diikuti dengan “Get Updates”. Microsoft merekomendasikan semua pengguna menginstal pembaruan.

Cacat aCropalypse pertama kali ditemukan pada perangkat Pixel, dan kemudian ditangani oleh Google dalam pembaruan keamanan Android Maret baru-baru ini. Dalam kasus Snipping Tool Windows 11, ternyata utilitas tersebut tidak menimpa data PNG yang dipangkas dengan benar. Masalah ini tidak memengaruhi semua file PNG, tetapi kekhawatirannya adalah bahwa aktor jahat dapat mengeksploitasi vulnerabilty untuk memulihkan sebagian gambar yang diedit, terutama yang telah dipangkas untuk menghilangkan informasi sensitif. Seperti pembaruan Android Maret Google, tambalan Microsoft tidak akan melindungi gambar yang sebelumnya dibuat dengan alat screenshot.

sumber : engadget.com

AT&T memberi tahu 9 juta pelanggan tentang pelanggaran data setelah peretasan vendor

by

AT&T memberi tahu sekitar 9 juta pelanggan bahwa beberapa informasi mereka terungkap setelah vendor pemasaran diretas pada bulan Januari.

“Informasi Jaringan Kepemilikan Pelanggan dari beberapa akun nirkabel terungkap, seperti jumlah saluran pada akun atau paket tarif nirkabel,” AT&T memberi tahu BleepingComputer.

“Informasi tersebut tidak mengandung informasi kartu kredit, Nomor Jaminan Sosial, kata sandi akun, atau informasi pribadi sensitif lainnya. Kami memberi tahu pelanggan yang terpengaruh.”

Sementara pemberitahuan pelanggaran data tidak membagikan jumlah pelanggan yang terkena dampak, AT&T memberi tahu BleepingComputer bahwa “sekitar 9 juta akun nirkabel telah mengakses Informasi Jaringan Kepemilikan Pelanggan mereka.”

Data CPNI yang terekspos mencakup nama depan pelanggan, nomor akun nirkabel, nomor telepon nirkabel, dan alamat email.

“Sebagian kecil pelanggan yang terkena dampak juga memiliki paparan nama paket tarif, jumlah yang lewat jatuh tempo, jumlah pembayaran bulanan, berbagai biaya bulanan dan/atau menit yang digunakan. Informasi tersebut sudah berumur beberapa tahun,” kata AT&T.

Perusahaan menambahkan bahwa sistemnya tidak dikompromikan dalam insiden keamanan vendor dan bahwa data yang terbuka sebagian besar terkait dengan kelayakan peningkatan perangkat.

“​Kami telah memberi tahu penegak hukum federal tentang akses tidak sah CPNI Anda seperti yang dipersyaratkan oleh Komisi Komunikasi Federal,” kata AT&T dalam surat pemberitahuan pelanggaran CPNI, pertama kali ditemukan oleh DataBreaches.net dan dikirim dari att@message.att-mail. com.

“Laporan kami kepada penegak hukum tidak berisi informasi spesifik tentang akun Anda, hanya akses tidak sah yang terjadi.”

Pelanggan disarankan untuk menonaktifkan pembagian data CPNI di akun mereka dengan membuat Permintaan Pembatasan CPNI untuk mengurangi risiko paparan di masa mendatang jika AT&T menggunakannya untuk tujuan pemasaran vendor pihak ketiga.

Selengkapnya: Bleeping Computer

WhatsApp Meta didenda 5,5 juta euro oleh regulator privasi UE utama

by

Whatsapp

DUBLIN, Jan 19 (Reuters) – Anak perusahaan Meta (META.O) WhatsApp didenda 5,5 juta euro ($ 5,95 juta) pada hari Kamis oleh Komisi Privasi Data Irlandia (DPC), regulator privasi UE utamanya, karena pelanggaran tambahan terhadap privasi blok tersebut hukum.

DPC juga mengatakan kepada WhatsApp untuk menilai kembali bagaimana menggunakan data pribadi untuk peningkatan layanan mengikuti perintah serupa yang dikeluarkan bulan ini untuk platform utama Meta lainnya, Facebook dan Instagram, yang menyatakan Meta harus menilai kembali dasar hukum yang menjadi dasar penargetan iklan melalui penggunaan data pribadi.

DPC mendenda WhatsApp 225 juta euro pada September 2021 untuk pelanggaran yang terjadi pada Mei 2018, periode waktu yang sama dengan pengaduan yang ditangani pada hari Kamis. WhatsApp sedang dalam proses mengajukan banding atas denda tersebut melalui pengadilan Irlandia.

Regulator telah mendenda Meta 1,3 miliar euro hingga saat ini dan memiliki 10 pertanyaan lain yang terbuka untuk layanannya.

sumber : reuters

Apple Menghadapi Gugatan Gugatan Kelompok Ketiga Atas Pengumpulan Data Setelah Cerita Gizmodo

by

Sekarang Apple menghadapi gugatan class action ketiga atas masalah tersebut, kali ini di New York, menandai tindakan hukum ketiga terhadap perusahaan atas dilema data ini. Kasus ini e=meminta gantu rugi sebesar $5 juta.

Namun sejauh ini, perusahaan tersebut menolak untuk membela diri terhadap Gizmodo, atau outlet media lainnya. Kami telah bertanya kepada Apple tentang masalah tersebut pada enam kesempatan terpisah sejak Gizmodo secara eksklusif melaporkan masalah tersebut November lalu. Apple tidak menanggapi, dan masih belum mengatakan apa pun secara terbuka tentang masalah tersebut.

Pengaturan privasi iPhone Analytics mengatakan bahwa itu akan “menonaktifkan berbagi Analisis Perangkat sama sekali” saat Anda mematikannya. Kebijakan privasi analitik Apple mengatakan bahwa “tidak ada informasi yang dikumpulkan yang mengidentifikasi Anda secara pribadi.” Tetapi ketika peneliti dari perusahaan pengembangan perangkat lunak Mysk menguji klaim tersebut, mereka menemukan bahwa keduanya tidak benar.

Terlepas dari klaim Apple bahwa informasi tersebut tidak dapat diidentifikasi, data tersebut dikirimkan dengan nomor ID permanen yang terkait dengan akun iCloud, yang menautkan data ke nama, alamat email, dan nomor telepon Anda.

Belum lagi kampanye iklan privasi ucapan selamat diri Apple selama bertahun-tahun. Perusahaan telah menghiasi papan reklame raksasa di seluruh negeri dengan frasa bernas seperti “iPhone Anda tahu banyak tentang Anda. Tapi kami tidak.” Menurut trio tuntutan hukum, bukan itu masalahnya.

sumber : gizmodo

VALL_E Microsoft Dapat Memicu Longsor Kejahatan Cyber

by

VALL-E adalah penyintesis ucapan kecerdasan buatan (AI) yang dikembangkan oleh Microsoft yang dapat mengkloning dan memanipulasi suara seseorang secara dekat. Alat ini sangat canggih sehingga hanya membutuhkan klip suara tiga detik yang dapat diubah menjadi kata, frasa, atau kalimat apa pun.

Algoritma bahkan dapat membentuk ucapan menjadi berbagai emosi dan mereplikasi lingkungan akustik pembicara atau suara latar belakang!

Sebelumnya, forensik digital menganggap kurangnya kebisingan latar belakang sebagai tanda suara yang dimanipulasi oleh AI. Tetapi kemampuan VALL-E untuk meniru bahkan detail ini akan memberikan lapisan tantangan lain bagi calon korban dan penyelidik.


VALL-E Model Overview

Pengguna juga dapat mengintegrasikan VALL-E dengan model AI generatif lainnya seperti GPT-3, yang dapat membuatnya lebih canggih. Tetapi Microsoft tidak terburu-buru untuk memamerkan dan mendominasi pasar AI yang berkembang pesat.

Bukti Kejahatan Rig
Dengan alat cerdas yang dapat memanipulasi suara untuk mengatakan apa pun, hal ini berpotensi memengaruhi dan menyesatkan penyelidikan kejahatan. Manipulasi ini dapat melindungi pelaku, mengurangi keterlibatan kejahatan mereka, atau lebih buruk lagi, mendakwa orang yang tidak bersalah.

Gunakan Alat Canggih Seperti Spectrum 3D
Dalam kasus Niso, itu membedah pesan suara menggunakan alat yang disebut Spectrum3D. Dengan menggunakan perangkat lunak ini, perusahaan telah menemukan ketidaknormalan utama dalam pesan penipuan yang mungkin tidak dapat dikenali bahkan oleh telinga yang terlatih.

Analysis of an AI-Manipulated Voice

Menurut temuannya, ia mendeteksi suara terputus-putus, kurangnya kebisingan latar belakang alami, ketidakkonsistenan nada dan nada, dan kemungkinan besar pelaku menggunakan sistem text-to-speech (TTS).

Analysis of a Normal Human Voice Recording

Secara keseluruhan, seluruh pesan audio berkualitas rendah, membuat forensik mencurigai bahwa penjahat dunia maya hanya bereksperimen dengan penipuan ini dan berharap seseorang pada akhirnya akan mengambil umpannya.