隐私月报 · 2026 年 10 月
PRIVACYHOT
本月多起大规模数据泄露集中曝光：美国国土安全部逾4.1万名员工记录外泄，加州全部约700万名公立学校学生的信息经承包商ETS被窃。丹麦中央人口登记册事件影响约880万人，涉事账号竟使用“123456”密码。执法与监管层面，通用汽车就出售驾驶数据与36州达成2.2亿美元和解，Meta因剑桥分析相关违规被新墨西哥州法院裁定罚款250亿美元。欧盟理事会通过AI个人数据条款，允许AI公司在“AI语境”下默认具有压倒性正当利益使用个人数据，noyb称之为数字征收。
Citizen Lab 与 Confiant 披露 Discover-Tech 借在线广告投放零点击间谍软件
Citizen Lab 与 Confiant 的调查发现，以色列广告公司 Discover-Tech 通过数字广告向设备投递零点击间谍软件，至少 45 名半岛电视台记者的设备被感染。
The Record原文 泄露与事件
本版导读从政府雇员、学生到机器人伴侣与AI对话，泄露面持续扩大，供应链与弱口令成为共同入口。
美国国土安全部逾4.1万名员工记录泄露，含ICE卧底人员
美国国土安全部一批记录泄露，涉及该部及ICE、CBP等七个下属机构的逾4.1万名员工和承包商，数据最后更新于2026年8月19日。DDoSecrets称数据来自DHS的Okta登录系统并已公开，Okta表示未发现自身系统被入侵。记录含邮箱、电话、办公地址及内部权限分组，涉及卧底行动、窃听项目、Palantir Falcon、Mobile Fortify人脸识别应用和Signal等条目。
Malwarebytes 博客10.19加州数百万公立学校学生敏感数据在 ETS 系统泄露
加州数百万现任和前任公立学校学生的个人信息从 Educational Testing Service（ETS）运营的系统被窃取，ETS 已开始通知学生和家庭。调查认定未授权方使用被泄露的登录凭据，在 5 月 22 日至 9 月 18 日期间多次访问并复制了包含加州学生信息的文件。
BleepingComputer10.17黑客借 ConnectWise 供应链攻击入侵 Microsoft 365 租户
ConnectWise 在发现其 Cloud Backup 环境中的应用身份遭未授权访问后，关闭了合作伙伴和客户对该服务的访问；Huntress 称在其环境中确认至少 162 个租户被入侵。
DataBreaches.net10.11丹麦 CPR 登记册大规模泄露事件中至少三个账号使用“123456”密码
丹麦中央人口登记册（CPR）泄露事件影响超过 500 万在世丹麦人和 300 万已故者。据报道，与此次大规模泄露相关的公司至少有三个账号使用了“123456”密码，其中包括一个管理员账号。
BleepingComputer10.23Railway 检测到系统可疑活动，警告开发者轮换密钥
云托管平台 Railway 在存储客户环境变量的系统中检测到可疑活动后发布紧急警告，称调查显示未授权第三方可能访问了加密的环境变量，并在部分情况下获取了解密内容。
Malwarebytes 博客10.16Energize Lab 的 Eiliko 机器人伴侣泄露私密对话并可被远程劫持
The Verge 报道称，Energize Lab 的 AI 机器人伴侣 Eiliko 存在严重安全缺陷，研究员 Sammy Azdoufal 可访问 1300 万条对话以及全球约 68000 台在网机器人，其中美国有超过 31000 份儿童档案。
BleepingComputer10.24Quest Diagnostics 确认数据泄露，患者记录经 Quanum LSM 系统外泄
Quest Diagnostics 披露其 Quanum LSM 系统遭未授权访问，患者记录可能已外泄，公司在 2026 年 10 月 21 日获悉后启动事件响应并向 SEC 提交文件。
The Record10.15波兰总理称 NSO 集团可获取前政府用 Pegasus 收集的数据
波兰调查人员称，有证据显示一家间谍软件厂商从波兰反对派领导人等受害者处收集数据并传输至以色列。总理 Donald Tusk 称这起由前执政党主导的间谍软件行动是共产主义倒台以来波兰最大的丑闻之一，并指责以色列 NSO 集团与以色列情报机构合作。
ICE被曝在明尼苏达开展大规模反左翼监控行动
明尼苏达15人案的辩护律师在证据开示中获得材料，显示ICE下属的国土安全调查局（HSI）以Project Whipple Shield和Operation Puppet Master为名，对明尼苏达及外州左翼活动人士展开监控。
DataBreaches.net10.30佛罗里达州教育厅学生资助网站数据泄露，或影响490万人
佛罗里达州教育厅称其学生资助网站发生数据泄露，约490万人的个人信息可能暴露，包括社保号。工作人员于10月19日发现该网站遭到未授权的犯罪性访问，并启动了网络安全响应。
DataBreaches.net10.18加州教育厅承包非营利组织遭黑客攻击，数百万学生数据泄露
加州官员周五通报，一家与加州教育厅签约的非营利组织遭黑客攻击，过去三年就读于加州公立学校的全部 700 万名学生的姓名、地址、人口统计信息和残疾状况被窃取。报道由 Eric He 和 Tyler Katzenberger 撰写，DataBreaches.net 转述。
Meta 的 Muse 分享链接设计缺陷暴露用户私人对话
安全公司 Claroc 的研究人员发现，Meta 的 AI 智能体 Muse 在生成分享链接时把对话标题放进子域名，被动 DNS 记录使这些链接可被公开检索，他们据此枚举出 6800 条用户分享链接。
The Record10.21加州警告所有公立学校学生：承包商 ETS 泄露学生数据
加州教育部警告，测评承包商 ETS 遭黑客入侵，近三年所有公立学校在读学生及 2006 年后离校学生的敏感信息被复制，包括姓名、出生日期、住址、SSID、性别、种族、语言、残疾与 Section 504 状态、考试便利安排及考试报名与成绩。
CyberScoop10.31苹果向 99 个国家用户发出雇佣间谍软件感染通知
苹果向 99 个国家的目标用户发送雇佣间谍软件感染通知，收件者包括记者和纪录片制作人，公司称迄今已在超过 150 个国家通知过用户。苹果表示不会将攻击归因于特定攻击者或地区，并建议用户开启 Lockdown Mode 或联系数字权利组织 Access Now。
Malwarebytes 博客10.12攻击者用泄露密码 123456 滥用丹麦 CPR 登记系统，约 880 万人信息被查
丹麦 CPR 人口登记系统发生严重安全事件，攻击者通过 Odense 的 IT 公司 Pays ApS 的合法访问权限，获取了约 880 万登记人员的姓名、地址、CPR 号码等信息。
Proton 博客一手10.09ASOS 遭黑客入侵：勒索通知直接推送给用户
10 月 6 日周二，英国时尚零售商 ASOS 的用户收到官方 App 推送，标题为“ASOS HACKED”，内容要求 ASOS 数据保护官和 IT 部门就已被攻破的 Snowflake 实例进行交涉，否则将泄露数据。
DataBreaches.net10.28黑客入侵 Capcom ID，获取 1170 万个账户数据并开始修改密码
Capcom 于 10 月 22 日承认发生大规模用户数据泄露，一名黑客入侵 Capcom ID 并访问了 1170 万个账户的数据。据 Boris Piletskiy 转述，该黑客还开始修改这些账户的密码。
攻击与追踪
Open Rights Group一手10.12Open Rights Group 调查英国内政部在庇护决定中使用 ChatGPT 类 AI 工具
Open Rights Group 发布为期六个月的调查，指出英国内政部在每一起庇护决定中使用基于 GPT-4o（经 Azure AI Foundry）的 Asylum Case Summarisation（ACS）与 Asylum Policy Search（APS）两款生成式 AI 工具，庇护申请人仍不会被告知 AI 被用于摘要其案件与国家信息。
法规与执法
本版导读州总检察长、法院与隐私组织多线施压，AI训练数据与政府监控的合法性成为新战场。
俄勒冈州总检察长 Rayfield 牵头 36 州与通用汽车达成 2.2 亿美元数据出售和解
通用汽车将支付 2.2 亿美元，就向数据经纪商出售驾驶员驾驶行为和位置数据、后者再转售给保险公司并影响保费一事达成和解，俄勒冈与华盛顿牵头 36 州总检察长提起此案，俄勒冈分得逾 1040 万美元。
投票权与隐私组织就 DHS 秘密收集选民记录起诉特朗普-万斯政府
美国妇女选民联盟、EPIC 和 LULAC 在哥伦比亚特区联邦地区法院起诉美国国土安全部，指控其秘密收集并汇编数百万美国选民的个人信息，超出法律授权并违反联邦隐私保护。
The Record10.22新墨西哥州法院就剑桥分析隐私案裁定Meta支付250亿美元罚款
新墨西哥州法院文件显示，Meta因剑桥分析事件相关的数据隐私违规被处以250亿美元罚款。陪审团此前认定Meta违反该州不公平行为法4300万次，每次最高可罚5000美元，州方最初获判2200亿美元，法官Francis Mathew将其降至250亿美元，并按年息15%计息直至付清。
noyb一手10.23欧盟成员国理事会通过 AI 个人数据条款，noyb 称其为数字征收
欧盟成员国在理事会通过“数字综合提案”中的 Article 88bis（原 88c），允许 AI 公司在“AI 语境”下使用个人数据时默认具有压倒性正当利益，无需征得用户同意。noyb 称该条款覆盖从未与其交易过的用户及数十年前的数据，并指成员国还提议收窄个人数据定义、使假名数据不再受 GDPR 覆盖。该文本尚需与欧洲议会谈判，noyb 认为最终可能诉至欧盟法院。
404 Media10.08404 Media 公布被法官裁定违宪的 Flock 车牌识别搜查录像
404 Media 获取并公布了俄克拉荷马州 Tulsa 县警员 Freddie Alaniz 的执法记录仪和车内录像，记录了他使用 Flock 和 Motorola ALPR 系统搜查 Melissa Kyle 车牌的过程。
noyb一手10.27noyb 在四国对 AI 训练平台 Outlier 提起 5 起 GDPR 投诉
noyb 就 Scale AI 旗下数据标注平台 Outlier AI 在法国、意大利、荷兰和奥地利提起 5 起 GDPR 投诉，指其在工人设备上未经同意植入 TikTok、LinkedIn、Facebook、Sprig、Datadog 等追踪器，每隔几秒向第三方发送 IP 地址、联系方式、唯一标识符和访问页面信息。
EFF一手10.21法院裁定 OPM 向 DOGE 披露联邦雇员记录违法
纽约联邦法院于 2026 年 10 月 20 日作出简易判决，认定 OPM 向 DOGE 人员披露数百万联邦雇员记录违反《隐私法》两项条款，一项限制机构间披露个人记录，另一项要求机构保障记录的安全与保密。
美国两名参议员指认政府隐匿 FISA 法院监控裁定
美国参议员 Ron Wyden 与 Adam Schiff 指认特朗普政府非法扣留外国情报监视法院（FISA）一项关于监控美国人的裁定，要求其在 11 月 6 日前说明延迟原因并公布负责官员姓名。
FTC 起诉 Digital Forensics 以反性勒索服务误导消费者
FTC 起诉 Digital Forensics Corporation LLC 及其 CEO Dmitry Belkin 等关联公司，指控其以虚假的性勒索援助服务误导受害者，收取至少 6000 万美元。
noyb一手10.21noyb 胜诉：柏林数据保护机构认定主要政党微定向违法
柏林数据保护机构认定 CDU、SPD、Bündnis 90/Die Grünen 和 DIE LINKE 基于用户政治兴趣投放个性化政治广告缺乏合法性基础，处理个人数据违法。
实践与观点
EDRi 欧洲数字权利一手10.08奥地利拟修法允许 AI 在无人工复核下作出行政决定
奥地利议会宪法事务委员会将于今年秋季审议《普通行政程序法》（AVG）修订草案，草案首次允许行政机关使用全自动系统作出具有法律约束力的决定，且无需人工复核具体结果。