บริษัท Microsoft ทลายบริการฟิชชิงแบบ device code ชื่อ EvilTokens ที่ใช้ AI ทุกขั้นตอนของการโจมตี ติดตามกลุ่มผู้พัฒนาในชื่อ Storm-2992 พร้อมตำรวจอังกฤษจับผู้ต้องสงสัย 2 ราย บริการนี้ขายแบบ PhaaS บน Telegram อาศัยช่องทาง OAuth device authorization ยึดบัญชีอีเมลโดยไม่ต้องรู้รหัสผ่าน มีแชตบอต AI ช่วยวิเคราะห์กล่องจดหมายและร่างอีเมล BEC โยงกล่องจดหมายถูกยึดกว่า 12,000 บัญชีใน 10,000 องค์กรทั่วโลก

นักวิจัย Patrick Wardle เปิดโปงช่องโหว่ 0-day ในเอเจนต์ AI ชื่อ Muse ของ Meta บน macOS ที่เปิดทางให้มัลแวร์ซึ่งรันในสิทธิ์ผู้ใช้อยู่แล้วเข้ายึดผู้ช่วย ดักคำสั่งที่ผู้ใช้พูด inject คำสั่งอันตราย และขโมยข้อมูลยืนยันตัวตน ต้นเหตุคือค่าคอนฟิกที่ไม่มีเอกสาร endo_voyager_dictation_endpoint ที่โปรเซสสิทธิ์ต่ำแก้ไขได้ เพื่อเปลี่ยนเส้นทางทราฟฟิกไปเซิร์ฟเวอร์ผู้โจมตี ช่องโหว่นี้ทำหน้าที่ขยายสิทธิ์การเข้าถึงผ่านอำนาจที่ผู้ใช้มอบให้เอเจนต์

หน่วยงานคุ้มครองข้อมูลของไอร์แลนด์ (DPC) สั่งปรับ Google เป็นเงิน 403 ล้านยูโร ฐานละเมิดกฎหมาย GDPR ในการจัดการข้อมูลตำแหน่งที่ตั้งของผู้ใช้ผ่าน 3 ฟีเจอร์ระหว่างปี 2018-2020 คือ Web & App Activity, Location History และ Location Accuracy DPC พบว่า Google ละเมิดหลักการประมวลผลที่ชอบด้วยกฎหมายและโปร่งใส และเก็บข้อมูลนานเกินจำเป็น นับเป็นค่าปรับที่ใหญ่เป็นอันดับ 4 ที่ DPC เคยออก โดย Google มีสิทธิ์อุทธรณ์ต่อศาลสูงภายใน 28 วัน

ผู้ใช้ Claude Code รายหนึ่งรายงานเหตุข้อมูลสูญหายร้ายแรง เมื่อเอเจนต์เขียนโค้ดอัตโนมัติถูกกล่าวหาว่าลบไฟล์สด 48,218 รายการออกจากโปรเจกต์บน Windows และทำลาย Git object store ภายใน 103 วินาที ต้นเหตุมาจากสคริปต์ลบที่ใช้ os.walk กับ Windows directory junction ผิดพลาด ทำให้ไล่ลบไฟล์ในไดเรกทอรีที่ลิงก์กลับเข้าโปรเจกต์จริง เหตุการณ์นี้มาจากโพสต์ Reddit ยังไม่มีการยืนยันทางนิติวิทยาศาสตร์อิสระ แต่สะท้อนความเสี่ยงของการมอบสิทธิ์ให้เอเจนต์ AI ทำงานทำลายล้าง

นักวิจัย Securonix เปิดโปงแคมเปญใหม่ชื่อ TASK#STOMP ที่ปล่อยแบ็กดอร์ PowerShell เพื่อขโมยเอกสารธุรกิจ รหัส Wi-Fi และข้อมูลคลิปบอร์ดจากเครื่องเหยื่อ การติดเชื้อเริ่มจากไฟล์ VBScript บนเดสก์ท็อปที่สร้าง scheduled task ปลอมเป็นบริการระบบ แล้วรันโมดูล PowerShell สองตัวที่คอยเฝ้าไฟล์ จับภาพหน้าจอ และรับคำสั่งจากเซิร์ฟเวอร์ C2 สองแห่งแบบสำรอง มัลแวร์อาศัยเครื่องมือ Windows ในตัวเพื่อกลมกลืนกับกิจกรรมปกติและหลบการตรวจจับ

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส

SentinelOne เผยกลุ่มเกาหลีเหนือ Jade Sleet เจาะผู้ให้บริการไอทีขนาดเล็กในอินเดียผ่านเครื่อง MacBook ของวิศวกร DevOps ปล่อยแบ็กดอร์ macOS สองตัวคือ FLATROOF และ ROOFDECK ที่เคยพบในการโจมตี KelpDAO บน LayerZero กลุ่มนี้ใช้อุบายหลอกสัมภาษณ์งานและไฟล์ Terraform ที่ฝังโดเมนอันตราย มุ่งเป้านักพัฒนาในสาย DevOps คริปโต และฟินเทค ตอกย้ำว่าจุดอ่อนได้ย้ายมาอยู่ที่เครื่องของนักพัฒนาและซัพพลายเชนซอฟต์แวร์

กลุ่ม ShinyHunters เจาะเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์คู่แข่ง Clop แล้วขึ้นข้อความ DOMAIN SEIZED BY SHINYHUNTERS โดยอ้างว่าใช้ช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตนใน Grav CMS ผู้โจมตีอ้างว่าขโมยซอร์สโค้ด ปลั๊กอิน ล็อก และคีย์ส่วนตัวของบริการ Onion พร้อมขู่แฉรายชื่อบริษัทที่จ่ายค่าไถ่ในแคมเปญ Oracle EBS ทำให้เหยื่อเดิมของ Clop เสี่ยงถูกกรรโชกซ้ำ

แฮ็กเกอร์ต่างชาติเจาะระบบ OT ของการประปาเอกชนขนาดเล็ก 2 แห่งในรัฐโคโลราโดช่วงปลายเดือนสิงหาคม โดยเปลี่ยนค่าอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน และปรับรอบการสูบน้ำ เหตุเกิดสั้น ๆ ไม่กระทบคุณภาพน้ำหรือความปลอดภัยประชาชน ทางการยังไม่ระบุตัวผู้โจมตี แต่ CISA เตือนว่ามีกลุ่มหนุนหลังโดยอิหร่านพยายามเข้าถึงระบบน้ำทั่วสหรัฐฯ ต่อเนื่องจากคลื่นโจมตีระบบ PLC ที่เปิดสู่อินเทอร์เน็ตเมื่อเดือนกรกฎาคม

นักวิจัยของ LastPass และ Delphos Labs เปิดโปงตัวติดตั้ง LastPass Authenticator ปลอมบน GitHub ที่วางไดรเวอร์เคอร์เนล Windows เพื่อปิดแอนตี้ไวรัสและ EDR ก่อนรันโปรแกรมขโมยรหัสผ่าน ไดรเวอร์ถูกเซ็นผ่านโครงการ Microsoft Hardware Compatibility และไม่อยู่ในบัญชีบล็อก มันมีรายชื่อโปรเซสความปลอดภัย 145 รายการที่จะสั่งปิดจากระดับเคอร์เนล เทคนิคนี้เรียกว่า BYOVD จากนั้นตัวขโมยดูดรหัสผ่านจากเบราว์เซอร์ กระเป๋าคริปโต และเซสชัน LastPass ยืนยันว่าระบบและ vault ของบริษัทไม่ถูกแตะ