隐私周报 · 2026 年第 42 周 · 10.12 — 10.18
PRIVACYHOT
本周供应链与平台信任接连失守：ConnectWise 云备份环境遭未授权访问，Huntress 确认至少 162 个 Microsoft 365 租户被入侵；加州教育厅承包非营利组织被黑，700 万学生数据泄露。攻击侧，Citizen Lab 与 Confiant 披露 Discover-Tech 借在线广告投放零点击间谍软件，至少 45 名半岛电视台记者设备被感染。
Citizen Lab 与 Confiant 披露 Discover-Tech 借在线广告投放零点击间谍软件
Citizen Lab 与 Confiant 的调查发现，以色列广告公司 Discover-Tech 通过数字广告向设备投递零点击间谍软件，至少 45 名半岛电视台记者的设备被感染。
The Record原文 泄露与事件
本版导读从机器人伴侣私密对话外泄到丹麦 CPR 登记系统被查，泄露面覆盖消费设备与国家登记系统，Telegram 向美方提供数据的细节也由法庭记录坐实。
BleepingComputer10.17黑客借 ConnectWise 供应链攻击入侵 Microsoft 365 租户
ConnectWise 在发现其 Cloud Backup 环境中的应用身份遭未授权访问后，关闭了合作伙伴和客户对该服务的访问；Huntress 称在其环境中确认至少 162 个租户被入侵。
Malwarebytes 博客10.16Energize Lab 的 Eiliko 机器人伴侣泄露私密对话并可被远程劫持
The Verge 报道称，Energize Lab 的 AI 机器人伴侣 Eiliko 存在严重安全缺陷，研究员 Sammy Azdoufal 可访问 1300 万条对话以及全球约 68000 台在网机器人，其中美国有超过 31000 份儿童档案。
The Record10.15波兰总理称 NSO 集团可获取前政府用 Pegasus 收集的数据
波兰调查人员称，有证据显示一家间谍软件厂商从波兰反对派领导人等受害者处收集数据并传输至以色列。总理 Donald Tusk 称这起由前执政党主导的间谍软件行动是共产主义倒台以来波兰最大的丑闻之一，并指责以色列 NSO 集团与以色列情报机构合作。
DataBreaches.net10.18加州教育厅承包非营利组织遭黑客攻击，数百万学生数据泄露
加州官员周五通报，一家与加州教育厅签约的非营利组织遭黑客攻击，过去三年就读于加州公立学校的全部 700 万名学生的姓名、地址、人口统计信息和残疾状况被窃取。报道由 Eric He 和 Tyler Katzenberger 撰写，DataBreaches.net 转述。
Malwarebytes 博客10.12攻击者用泄露密码 123456 滥用丹麦 CPR 登记系统，约 880 万人信息被查
丹麦 CPR 人口登记系统发生严重安全事件，攻击者通过 Odense 的 IT 公司 Pays ApS 的合法访问权限，获取了约 880 万登记人员的姓名、地址、CPR 号码等信息。
404 Media10.16法庭记录披露 Telegram 向美国政府提供用户数据的具体内容
新提交的法庭记录显示，Telegram 向美国当局提供数据时会交出特定用户的电话号码、用户 ID 和 IP 地址。404 Media 与 Court Watch 合作披露了这封 Telegram 信件的具体内容。
芝加哥地区警察协助 HSI 监控明尼苏达反 ICE 活动人士
WIRED 查阅的新公布文件显示，芝加哥地区执法人员参与了 ICE 下属 Homeland Security Investigations 去年春天对明尼阿波利斯互助网络的卧底调查，该调查属于针对 15 名双子城活动人士的联邦共谋案。
EFF一手10.15DHS 监察长办公室审计发现 TSA 未妥善保护乘客人脸识别数据
美国国土安全部监察长办公室（DHS OIG）公布对 TSA 人脸识别技术的审计摘要，指出该技术在保护乘客数据隐私方面存在重大弱点。
攻击与追踪
本版导读间谍软件借广告链路投递、警方凭单张室内照片定位住宅，技术滥用正从国家监控延伸到商业工具与执法场景。
Open Rights Group一手10.12Open Rights Group 调查：英国内政部在每起庇护决定中使用 ChatGPT 类 AI 工具
Open Rights Group 对英国内政部在庇护决定中使用的两款生成式 AI 工具展开六个月调查，发现 2026 年 4 月至 7 月间仅 0.3% 的生成摘要经内政部主题专家核查，ACS 工具在抽样中的错误率高于试点测试，且没有独立审计计划。
404 Media10.12AI 公司 Graylark 让警方凭单张室内照片定位具体住宅
Graylark Technologies 的 AI 工具 Raven 新增室内照片分析功能，警方可仅凭照片中的线索近乎即时地确定房屋具体位置，该工具明显从 Zillow、Airbnb 等网站抓取数据。Raven 此前名为 GeoSpy，洛杉矶警察局和 Miami-Dade Sheriff's Office 已购买其访问权限。404 Media 称这显示出地方执法机构可获得的 AI 能力正在增强。
arXiv 隐私论文一手10.13inLoRA-MINT：用内部表示审计 LoRA 微调大模型的训练数据
研究提出 inLoRA-MINT，利用激活和参数相关信号等中间表示训练 MINT 分类器，在无需完整访问模型参数的条件下判断样本是否被用于 LoRA 微调。方法在 Qwen、Phi-4、DeepSeek-V3 和 LLaMA 3.2-3B 四个模型、覆盖医学、数学和学术推理的三份数据集上取得 95% 至 98% 的一致成绩，并对模型配置和数据分布变化保持稳健。
Privacy International一手10.12Privacy International 发布技术威权化使用全球报告
Privacy International 发布《技术威权化使用全球报告》，提出“authoritarian use of technology”一词，描述威权与民主政体同样在线上和线下部署新兴技术以压制异见、加强控制。
法规与执法
本版导读多国监管机构集中出手，罚款与执法通知覆盖广告技术、电话营销和警方情报共享，智能眼镜也被纳入数据保护议程。
投票权与隐私组织就 DHS 秘密收集选民记录起诉特朗普-万斯政府
美国妇女选民联盟、EPIC 和 LULAC 在哥伦比亚特区联邦地区法院起诉美国国土安全部，指控其秘密收集并汇编数百万美国选民的个人信息，超出法律授权并违反联邦隐私保护。
FTC 起诉 Digital Forensics 以反性勒索服务误导消费者
FTC 起诉 Digital Forensics Corporation LLC 及其 CEO Dmitry Belkin 等关联公司，指控其以虚假的性勒索援助服务误导受害者，收取至少 6000 万美元。
noyb一手10.12挪威数据保护机构因非法处理性取向数据对微软旗下 Xandr 罚款约 850 万欧元
挪威数据保护机构认定微软旗下在线广告公司 Xandr 违反 GDPR，在缺乏有效法律依据的情况下处理包括性取向在内的敏感个人数据，对其处以约 850 万欧元罚款。
ICO 就信息治理失职对伦敦大都会警察局发出谴责与执法通知
ICO 对伦敦大都会警察局（MPS）发出谴责与执法通知，认定其警员和工作人员在 2023 年 3 月至 2024 年 9 月期间，未经正式批准使用第三方零售犯罪情报共享平台处理个人信息。
EDPB 发布智能眼镜数据保护挑战声明
EDPB 在最近一次全体会议上通过关于智能眼镜的声明，并发布报告《The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses》。
意大利数据保护机构因非法电话营销和数据保护违规对 Wind Tre 罚款 1670 万欧元
意大利数据保护机构对 Wind Tre 处以 1670 万欧元罚款，原因是非法电话营销和数据保护违规。同一批通报中，该机构还因未尊重客户拒绝直接营销的意愿对 BBVA 罚款 550.8 万欧元，因非法处理患者健康数据对 IQVIA 罚款 700 万欧元，并对一家安保公司涉员工数据的违规行为罚款 3.9 万欧元。