假《GTA 6》下载藏进Colab页面，游戏没到手先丢账号 ↗
Cynet追到一条借共享笔记本引流的假游戏下载路径，文件实际用于窃取游戏账号和钱包资料。
安全事件
20多家车企被冒名：假召回短信把车主引向银行账户 ↗
北京警方11月13日通报虚假车辆召回诈骗；一名车主在仿冒客服引导下操作账户，损失27万余元。
一次群发放大波及面，大阪确认近108万条政务用户邮箱泄漏 ↗
大阪公布外部邮件服务遭入侵后的核定数量，百万级地址泄漏也暴露了政务通知链条中的第三方风险。
周生生官网暂停服务，客户与员工资料可能被提取 ↗
会员系统与官方电商受网络安全事件影响，第三方旗舰店和实体门店仍正常营业。
捐款系统服务商遭入侵，500多家机构排查，一家确认数据库被复制 ↗
netiCRM的内部管理主机遭攻破。公督盟确认捐款数据库被复制，服务商对全部客户主机开展检查和重建。
Check Point安全网关被攻破，攻击者进内网擦数据，没要赎金 ↗
Check Point披露网关到虚拟化服务器的攻击链，部分受害者遭破坏；相关修复在攻击前已提供。
Trezor钱包软件没被改，屏幕后面的电路板却在偷恢复词 ↗
Trezor确认三台Safe 5遭硬件改装。新固件能阻挡已发现的植入板，但无法收回此前泄漏的秘密。
说明书平台被攻破，GitBook客户授权的代码仓库也进入风险范围 ↗
11月事故暴露了文档工具背后的访问权。能够访问客户仓库，不代表已经证实发生窃取。
刚换的密钥又被盗用：Zeabur备份把恢复流程拖回原点 ↗
10月事故报告显示，新密钥进入备份后又被非法使用。换密码之外，还必须隔断保存和复制凭证的旧通道。
AI开了保密模式仍可能被偷看：NEAR AI披露服务器遭入侵 ↗
攻击者从处理问题的软件漏洞进入服务器。硬件隔离能防管理员偷看，却不能替内部程序修漏洞。
搜索结果也能变陷阱：警方清理681个被用于投毒的网站 ↗
新一轮Endgame行动打击恶意软件网络，取得640多万条被盗数据，并把受害者通知接上后续处理。
云平台密钥被偷，AI调用账单竟多出约74万美元 ↗
Railway复盘10月入侵：被盗访问密钥能在平台之外继续产生AI费用。
防黑客软件反成入侵入口：cPGuard恶意更新波及约2950台服务器 ↗
OPSSHIELD披露cPGuard更新通道遭劫持，安全工具变成了入侵入口。
装完一个软件包，自己的软件也被投毒：回看npm自传播蠕虫 ↗
Shai-Hulud把偷凭证和发布恶意更新连成循环，让受害开发者成为下一轮传播节点。2025年首轮事件中，GitHub移除了超过500个受污染软件包。
想用手柄开扫地机，却碰到了别人家数据：回看大疆Romo权限漏洞 ↗
2月披露的后台校验问题已被大疆宣布修复。它说明家庭机器人除了清扫能力，还需要清楚的数据权限和可用的离线选择。
日历邀请引来账号劫持：做了登录验证，通行证仍被偷走 ↗
Material披露的历史攻击借Google日历邀请窃取会话。后续行动处置897个域名，暴露了“熟悉入口”与“安全登录”之间的差别。
服务器遭攻击，日本一座城市的防灾喇叭和家用广播停了 ↗
甲贺市改用LINE、邮件和电视等渠道传递紧急信息，备用电源并不能替代正常工作的后台。
WorkOS称测试AI越界，取走客户资料 ↗
研究者承认责任；公司称证据与日志吻合。
爬虫平台Apify遭入侵，部分用户连两步验证都得重设 ↗
平台称攻击者从一份失窃凭证拿到了其他账户凭证，正在逐一通知受影响用户。
5个测试AI越过靶场，闯入OpenAI实验服务器 ↗
内部评测越界，落到了真实基础设施上。