BleepingComputer

Een geverifieerd HBO Max-account plaatste 108 advertenties die Windows- en macOS-gebruikers naar ClickFix-lokpagina’s stuurden. De campagne laat zien waarom merkvertrouwen en endpointbeveiliging dezelfde aanvalsketen raken.

Anthropic beschrijft hoe een vermoedelijke ShinyHunters-affiliate Claude gebruikte om 1,8 miljoen Android-APK’s op secrets te scannen. Dezelfde campagne laat zien hoe gestolen sleutels via leveranciers en SaaS-platforms naar klantorganisaties kunnen doorlopen.

Trezor waarschuwt 347.000 nieuwsbriefabonnees nadat aanvallers via e-mailprovider Brevo een legitiem Trezor-adres misbruikten. Brevo meldt dat 138 accounts bereikbaar waren, waarvan zes voor phishing zijn gebruikt. De casus maakt leveranciersbeveiliging onderdeel van klantcommunicatie.

IDScan meldt mogelijke ongeautoriseerde toegang tot klantdata in zijn cloud. De melding bevestigt niet dat alle 153 miljoen rijbewijsscans uit dit incident komen. Voor Nederlandse organisaties verschuiven bewaartermijn, verwerkersafspraken en meldroute naar de bestuurstafel.

Google Threat Intelligence Group beschrijft hoe een financieel gemotiveerde aanvaller in minder dan zes uur een autonome campagne bouwde die duizenden credentials oogstte. De inzet voor Nederlandse bedrijven ligt bij de grenzen rond cloud-, CI/CD- en agenttoegang.

Phishingdienst BigBear 2.0 zet met drie regels JavaScript de FIDO2-inlog uit en oogst daarna sessiecookies. CloudSEK telde 5.137 buitgemaakte records en 258 organisaties met een afgeronde MFA-bypass op Microsoft 365.

Negen rechtszaken tegen identiteitsverificatiedienst IDScan.net staan op de rol in New Orleans. De eisers gebruiken het contract tussen de leverancier en zijn zakelijke klanten als hefboom, en dat maakt je verwerkersovereenkomst ineens een aansprakelijkheidsvraag.

OpenAI verhielp een storing die inloggen en aanmelden op ChatGPT 52 minuten blokkeerde. De API bleef draaien. Het breekpunt lag in de authenticatie, de laag waar geen tweede modelaanbieder je opvangt.

Een verkoper biedt 3,6 miljoen medewerkersgegevens aan uit de Azure-omgevingen van negen grote bedrijven, opgehaald met gestolen inloggegevens. Niet Azure is gehackt, maar de standaardrechten in Entra maken één account genoeg voor de hele adreslijst.

Binnen twee dagen na het watermerk van Anthropic staan er tientallen verwijdertools, met ruim 4.800 sterren voor het grootste project. Geen ervan kan bewijzen dat het merkteken verdwijnt, want de detector ontbreekt.

LexisNexis bouwt de systemen achter Nexis Diligence, de Metabase API en Newsdesk opnieuw op in een nieuwe omgeving na verdachte activiteit bij een externe leverancier. Voor Wwft-plichtige instellingen stokt daarmee de klantacceptatie.

Levi Strauss meldt bij de SEC dat aanvallers via social engineering bij drie medewerkers binnenkwamen en bedrijfsdata wegsluisden. Geen lek, geen gekraakt wachtwoord: een telefoontje volstond. Wat dat betekent voor je eigen servicedesk.

De inbraak bij Transport for London begon met een telefoontje naar de helpdesk en kostte 39 miljoen pond. Waarom het herstelkanaal je zwakst bewaakte toegangspoort is, bij Meta, bij Google en bij jezelf.

Het trackingscript van Adform, dat op de sites van zo'n 14.000 klanten staat, leverde ruim een week lang een cryptostealer uit die gekopieerde walletadressen verving. De site van de klant werd doorgeefluik zonder zelf gehackt te zijn.

OpenAI bevestigt een wereldwijde storing in ChatGPT, de API en Codex. Vanaf 11.17 uur liepen inlogpogingen en API-aanroepen vast. Voor bedrijven die hun processen op de API bouwden is dat geen hinder maar uitval.

Hugging Face bevestigt een inbraak waarbij interne datasets en inloggegevens zijn buitgemaakt en roept gebruikers op access-tokens te vervangen. Het bedrijf schrijft de aanval toe aan een autonome AI-agent, maar levert daar geen bewijs voor.

Ernst & Young meldt een datalek na een hack van een extern supportsysteem van zijn fiscale praktijk, waarbij belastingdocumenten van klanten werden blootgesteld. Het incident toont hoe je fiscale data ook risico loopt bij de leveranciers van je adviseur.

Aanvallers kaapten de release-pijplijn van vier veelgebruikte AsyncAPI-pakketten op npm en publiceerden versies met een inloggegevens-steler, waaronder @asyncapi/specs met ruim 2 miljoen wekelijkse downloads. Wie ze gebruikt, controleert nu en roteert tokens.

Een nieuwe phishingcampagne misbruikt LastPass en Bitwarden met valse beveiligingsmails en nagemaakte DocuSign-pagina's om hoofdwachtwoorden te stelen. LastPass bevestigt dat het niet is gehackt. De belangrijkste tegenzet is je personeel waarschuwen.

Bij de twee geraffineerdste overnames van Microsoft 365-accounts van de afgelopen week viel geen wachtwoord te stelen, want er werd er geen gebruikt.

Anthropic stelt de overstap van Claude Fable 5 naar betaalde verbruikscredits opnieuw uit, nu tot 19 juli. Tot dan blijft het topmodel gratis in je abonnement, voor maximaal de helft van je wekelijkse limiet.

Accenture bevestigt een datalek nadat een crimineel 35GB aan interne gegevens te koop zet, waaronder broncode en cloudsleutels. Voor elk bedrijf dat met de IT-reus werkt, is dat een concreet leveranciersrisico.

Een wachtwoordaanval deed in twee weken ruim 81 miljoen inlogpogingen op Microsoft 365 en omzeilde bij tientallen bedrijven de MFA via de verouderde ROPC-inlogroute van Azure CLI. Zo zet je die route dicht.

F5 bracht buiten de reguliere cyclus om noodpatches uit voor twee kritieke NGINX-lekken met CVSS 9,2. Onbevoegde aanvallers kunnen op afstand servers platleggen of code uitvoeren. Wie zelf NGINX draait, moet vandaag handelen.

Onderzoekers vonden inlog- en VPN-gegevens van bijna 74.000 FortiGate-firewalls in 194 landen, ongeveer de helft van alle aan het internet hangende Fortinets. Draait jouw bedrijf een FortiGate, dan is direct handelen geboden.