隐私周报 · 2026 年第 43 周 · 10.19 — 10.25
PRIVACYHOT
本周加州数百万公立学校学生的敏感数据经测评承包商 ETS 系统被窃取，Zeabur 两个月内第二次遭入侵后宣布关停。研究显示推理模型可从普通照片推断位置，Gemini-3-Flash 能将 25.71% 的图片定位到 1 公里内。新墨西哥州法院就剑桥分析隐私案裁定 Meta 支付 250 亿美元罚款，欧盟理事会则通过允许 AI 公司在 AI 语境下默认使用个人数据的条款。
新墨西哥州法院就剑桥分析隐私案裁定Meta支付250亿美元罚款
新墨西哥州法院文件显示，Meta因剑桥分析事件相关的数据隐私违规被处以250亿美元罚款。陪审团此前认定Meta违反该州不公平行为法4300万次，每次最高可罚5000美元，州方最初获判2200亿美元，法官Francis Mathew将其降至250亿美元，并按年息15%计息直至付清。
The Record原文 泄露与事件
本版导读从学校、医疗到开发平台，凭据泄露与系统配置缺陷接连导致大规模数据外泄，多伦多灭罪热线因此暂停运营。
Malwarebytes 博客10.19加州数百万公立学校学生敏感数据在 ETS 系统泄露
加州数百万现任和前任公立学校学生的个人信息从 Educational Testing Service（ETS）运营的系统被窃取，ETS 已开始通知学生和家庭。调查认定未授权方使用被泄露的登录凭据，在 5 月 22 日至 9 月 18 日期间多次访问并复制了包含加州学生信息的文件。
BleepingComputer10.23Railway 检测到系统可疑活动，警告开发者轮换密钥
云托管平台 Railway 在存储客户环境变量的系统中检测到可疑活动后发布紧急警告，称调查显示未授权第三方可能访问了加密的环境变量，并在部分情况下获取了解密内容。
BleepingComputer10.24Quest Diagnostics 确认数据泄露，患者记录经 Quanum LSM 系统外泄
Quest Diagnostics 披露其 Quanum LSM 系统遭未授权访问，患者记录可能已外泄，公司在 2026 年 10 月 21 日获悉后启动事件响应并向 SEC 提交文件。
Meta 的 Muse 分享链接设计缺陷暴露用户私人对话
安全公司 Claroc 的研究人员发现，Meta 的 AI 智能体 Muse 在生成分享链接时把对话标题放进子域名，被动 DNS 记录使这些链接可被公开检索，他们据此枚举出 6800 条用户分享链接。
The Record10.21加州警告所有公立学校学生：承包商 ETS 泄露学生数据
加州教育部警告，测评承包商 ETS 遭黑客入侵，近三年所有公立学校在读学生及 2006 年后离校学生的敏感信息被复制，包括姓名、出生日期、住址、SSID、性别、种族、语言、残疾与 Section 504 状态、考试便利安排及考试报名与成绩。
404 Media10.21法庭记录显示 DHS 以恐怖活动为由拦截活动人士，CBP 审讯时谎称查儿童色情
新提交的法庭记录显示，2025 年 1 月 DHS 官员发出警报要求拦截 Stop Cop City 活动人士 Samuel Tunick，理由是怀疑其从事“恐怖活动”，记录中包含警报截图和审讯照片。
BleepingComputer10.21TeamUpdraft 网站遭入侵，UpdraftCentral 连接密钥被用于植入 WordPress 后门
TeamUpdraft 披露在 10 月 17-18 日周末发现 teamupdraft.com 遭未授权访问，攻击者疑似读取客户数据库，其中包含密码哈希、双因素认证设置以及 UpdraftCentral、UpdraftVault、UpdraftClone 的连接密钥。
The Record10.23多伦多灭罪热线因150万条举报数据泄露暂停运营
多伦多 Crime Stoppers 在 CBC 报道全国各分会逾 150 万条举报信息在数据泄露中曝光后，于周三深夜暂停运营。CBC 查阅 DDoSecrets 提供的泄露数据后联系到十余名举报人，其研究的约半数举报含个人信息，部分可追溯至 25 年前。
The Record10.20Citizen Lab 确认塞尔维亚反对派人士遭 Pegasus 间谍软件感染
Citizen Lab 周一确认贝尔格莱德大学校长 Vladan Đokić 的手机今年某个时候被 Pegasus 间谍软件感染，另有一名疑似受害者的设备仍在分析中。
BleepingComputer10.21Zeabur 两个月内第二次遭入侵，泄露 321810 个账户信息后宣布关停
开发部署平台 Zeabur 披露，2026 年 10 月 14 日至 15 日攻击者利用泄露的内部凭据入侵共享集群、部分专用服务器和内部系统，最终读取平台数据库，涉及 321810 个账户和约 320 万条环境变量记录。
Google 安全博客一手10.21Google 因 eMudhra 中间 CA 私钥泄露在 Chrome 和 Android 中封禁相关证书
Chrome Root Program 于 2026 年 10 月 17 日收到报告，称 eMudhra 八个下属 CA 证书的私钥因随机性不足（弱加密熵）而泄露，任何人都可据此伪造受信任的 HTTPS 证书冒充任意网站。
攻击与追踪
本版导读本周研究聚焦推理与反馈侧信道：照片定位、生物特征模板重建和匿名评审关联均可绕过原有保护假设。
arXiv 隐私论文一手10.22GeoTrace 与 GeoShift：推理模型可从普通照片推断位置，改写视觉线索可降低定位成功率
研究提出 GeoTrace 结构化推理攻击，在排除地标和直接位置标识的 525 张全球普通图片上，Gemini-3-Flash 可将 25.71% 的图片定位到 1 公里内，GPT-5-mini 为 16.95%。
arXiv 隐私论文一手10.18研究：仅凭认证成功或失败反馈即可重建受保护的生物特征模板
arXiv 论文提出首个仅利用认证成功或失败反馈重建受保护生物特征模板的攻击，利用生物特征认证的几何约束实现重建。作者还提出面向返回相似度分数系统的分布感知查询高效重建方法，所需查询次数比近期基于分数的攻击减少 5 倍；将预训练人脸扩散先验引入二元几何攻击后，查询次数同样减少 5 倍。研究结论称，无论采用何种模板保护机制，认证过程本身都会暴露几何信息，足以在数值精度范围内实现完美模板重建。
arXiv 隐私论文一手10.20ECHO 研究揭示匿名同行评审中审稿意见与投稿的关联
研究提出 review-to-submission linkage 问题，即匿名审稿意见可被关联到审稿人自己提交的论文，从而缩小审稿人匿名集。
法规与执法
本版导读法院与监管机构本周在罚款、机构间数据披露和政治广告定向三方面作出明确认定，同时社交媒体年龄限制法获放行。
noyb一手10.23欧盟成员国理事会通过 AI 个人数据条款，noyb 称其为数字征收
欧盟成员国在理事会通过“数字综合提案”中的 Article 88bis（原 88c），允许 AI 公司在“AI 语境”下使用个人数据时默认具有压倒性正当利益，无需征得用户同意。noyb 称该条款覆盖从未与其交易过的用户及数十年前的数据，并指成员国还提议收窄个人数据定义、使假名数据不再受 GDPR 覆盖。该文本尚需与欧洲议会谈判，noyb 认为最终可能诉至欧盟法院。
EFF一手10.21法院裁定 OPM 向 DOGE 披露联邦雇员记录违法
纽约联邦法院于 2026 年 10 月 20 日作出简易判决，认定 OPM 向 DOGE 人员披露数百万联邦雇员记录违反《隐私法》两项条款，一项限制机构间披露个人记录，另一项要求机构保障记录的安全与保密。
noyb一手10.21noyb 胜诉：柏林数据保护机构认定主要政党微定向违法
柏林数据保护机构认定 CDU、SPD、Bündnis 90/Die Grünen 和 DIE LINKE 基于用户政治兴趣投放个性化政治广告缺乏合法性基础，处理个人数据违法。
EFF一手10.24美国第十一巡回法院放行佛州与佐治亚州社交媒体年龄限制法，EFF 呼吁记录受影响经历
美国第十一巡回法院同一合议庭上周作出两份裁决，解除禁令，允许佛罗里达州和佐治亚州开始执行限制 16 岁以下未成年人使用社交媒体的法律。佛州 H.B. 3 禁止 14 岁以下开设或保留账号，14 至 15 岁需父母同意；佐治亚州 S.B. 351 要求 16 岁以下须获父母同意，并要求平台以“商业上合理的努力”核验年龄。
产品与平台
Google 安全博客一手10.22Chrome 默认在发起不安全 HTTP 连接前向用户请求许可
Chrome 安全团队宣布，Chrome 已默认对所有用户启用一项改动：在发起不安全的 HTTP 连接前明确向用户请求许可，此前该功能仅面向启用 Safe Browsing 增强保护模式的用户。