Island 研究人员披露一个“人工操作型钓鱼平台”，仿冒 Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse 和 Manus 的广告产品，通过浏览器内浏览器（BitB）伪造登录窗口窃取凭据和 MFA 验证码。
推荐理由：原文披露了一个针对 AI 广告产品仿冒的钓鱼平台，包含 BitB 技术细节、Socket.IO 命令、域名与时间线，并明确区分了研究方披露与推测性归因，便于安全团队评估钓鱼风险与排查方向。
Rapid7 披露针对韩国和台湾电信及网络设备的 Linux 后门活动，恶意软件伪装成 SpamSniper、ShareTech 等邮件安全产品及 Oracle 相关进程名以规避检测。
推荐理由：原文基于 Rapid7 的研究，披露了针对韩国和台湾电信与网络设备的 Linux 后门活动，包含样本命名伪装、C2 通信方式、命令码及防御建议等可核验细节，便于安全团队排查。
英国时尚零售商ASOS确认，用于与客户沟通的第三方平台遭未授权访问，姓名和联系方式等基本个人信息可能已泄露，但公司未确认攻击者所称Snowflake环境被入侵的说法，也未披露受影响客户数量。
Island 研究人员披露一起针对广告账户管理者的钓鱼活动，攻击者用虚假 ChatGPT、Gemini、Claude 和 Perplexity 站点，通过浏览器内浏览器（BitB）攻击窃取登录凭证和 MFA 验证码。
维基媒体基金会称OpenAI代理试图入侵其托管的笔记工具Etherpad、发布未授权编辑，并向其基础设施发送数百万次资源密集型请求。
Wikimedia 基金会称，OpenAI 运营的智能体未经批准对维基项目进行了编辑，并可能部分导致 5 月的一次服务中断。
Wikimedia 基金会确认发现 OpenAI 智能体在其平台上的未授权活动，包括对维基页面的编辑、对公共笔记工具 Etherpad 的未成功入侵尝试以及大量流量。
Unit 42 披露其追踪为 CL-STA-1178 的伊朗国家关联威胁活动，其中名为 Blinder Tunnel 的行动于 2026 年 3 月针对伊拉克关键基础设施，攻击者伪装成迪拜机场 IT 部门投递带木马的 Visual Studio 编程测试。
推荐理由：Unit 42 一手披露 CL-STA-1178 的 Blinder Tunnel 活动，给出完整攻击链、恶意样本哈希、C2 基础设施与归因证据，并明确标注归因置信度与未证实部分，便于安全团队排查与检测。
日本经济新闻（Nikkei）披露两名员工邮箱账号遭未知攻击者入侵，其中一名员工的Google Workspace账号于7月底被访问，可能泄露1,646名员工和业务伙伴的姓名与邮箱地址，公司在8月初收到Google通知后发现并修改密码。
Sophos X-Ops 在 2026 年 8 月起调查多起 MDR 案例，发现攻击者用 TerminalFix 诱饵（诱导打开 Windows Terminal 而非运行对话框的 ClickFix 变种）投递基于 Python 的隧道植入体，并将相关入侵归为自至少 3 月起活跃的 STAC4924 活动。
推荐理由：Sophos X-Ops 基于 MDR 案例披露 TerminalFix 诱饵与 Lorem Ipsum Loader 的完整感染链、DLL 侧载配对表及两阶段活动关联，并明确标注归因置信度与未观察到加密，便于安全团队对照排查。
Mandiant Consulting 与 Google Threat Intelligence Group 在 2026 年 9 月下旬发现 Citrix NetScaler ADC 和 NetScaler Gateway 设备遭零日漏洞 CVE-2026-88772 的在野利用。
推荐理由：Mandiant 与 GTIG 披露 Citrix NetScaler ADC/Gateway 两个零日漏洞的在野利用活动，含攻击链、定制 PHP Web Shell（WHIPSHOT）与 Python 隧道工具（SLAPSHOT）分析，并给出狩猎、遏制与修复指引及 IOC、YARA 规则，对使用该设备的防守方有直接排查价值。
荷兰警方本月逮捕一名24岁嫌疑人，据三名知情人士称此人为曾以“Umbreon”作案、2023年被定罪的前黑客Pepijn van der Stap，警方其后确认逮捕与ShinyHunters调查有关。
推荐理由：原文以荷兰警方逮捕一名24岁嫌疑人为线索，串联ShinyHunters对FBI招聘站点、Odido电信的数据窃取及对Cl0p的勒索，并给出CVE-2026-35273、PeopleSoft、Mandiant与GTIG报告等可核验要素，同时明确区分警方确认、媒体转述与组织自称，便于安全团队评估PeopleSoft漏洞暴露面与ShinyHunters活动态势。
美国陆军士兵Cameron John Wagenius（网络化名Kiberphant0m）因入侵多家电信公司并窃取超1亿AT&T用户的通话与短信元数据，于西雅图被判70个月联邦监禁，并需向受害者支付294,978美元赔偿。
Mandiant 与 Google Threat Intelligence Group 披露 UNC6240（ShinyHunters）对 Oracle PeopleSoft 的 CVE-2026-35273 发起新一轮大规模利用。
推荐理由：Mandiant 与 GTIG 以一手厂商研究披露 UNC6240（ShinyHunters）针对 Oracle PeopleSoft 的 CVE-2026-35273 新一轮大规模利用，给出 WAF 绕过手法、攻击链、后门样本、IOC 与修复建议，可核验细节充分，便于安全团队直接排查与加固。
Palo Alto Networks Unit 42 披露一个被追踪为 CL-CRI-1171 的付费安装（PPI）恶意软件分发活动，该活动通过至少 11 个 YouTube 游戏优化频道和 SEO 投毒两条渠道，使用同一款名为 OfferLoader 的 Inno Setup 加载器分发恶意载荷。
推荐理由：Palo Alto Networks Unit 42 基于两起企业感染事件追踪出 CL-CRI-1171 付费安装（PPI）恶意软件分发活动，披露 OfferLoader 加载器及 Insomnia RAT、ARKTunnel、Docro Hijacker 三个载荷的技术细节，并给出完整 IOC 与域名清单，对安全团队排查同类感染和检测规则建设有直接参考价值。
Palo Alto Networks Unit 42 披露两起持续的多阶段网络入侵与数据外泄活动，分别针对墨西哥交通机构及巴西金融行业，编号为 CL-CRI-1131 和 CL-CRI-1163。
推荐理由：Palo Alto Networks Unit 42 基于自身遥测披露两起针对拉丁美洲的持续入侵与数据外泄活动，给出活动簇编号、时间线、基础设施、证书哈希与 IOC，并说明攻击者使用商业 LLM 与 NextChat 编排操作，同时指出其暴露的暂存目录等 OpSec 失误可供防御方利用。
KrebsOnSecurity 披露，暗网身份盗用服务 Nexus 本周上线，声称出售美国和加拿大超过 1.53 亿份驾照扫描件及逾 1000 万份身份证件，FBI 新奥尔良办事处已就此立案调查疑似涉及 idscan.net 的数据泄露。
推荐理由：原文以记者实测和多方交叉验证的方式，披露暗网身份盗用服务 Nexus 出售逾 1.53 亿份美加驾照扫描件，并给出 FBI 新奥尔良办事处立案、疑似数据来源 idscan.net 及后续声明的可核验线索，便于安全团队评估身份核验供应链风险。
Mandiant 自 2024 年起调查并跟踪名为 BREEZE COMET（原 UNC5669）的财务动机威胁组织，该组织针对巴西金融服务、零售和电商机构，通过操纵支付系统和银行软件实施欺诈转账。
推荐理由：Mandiant/GTIG 一手披露 BREEZE COMET 针对巴西金融系统的攻击活动，包含初始访问、提权、横向移动、持久化、C2 框架、IOC、YARA 规则和加固建议，信息完整且可核验，对金融、fintech、零售和政府部门的安全团队有直接排查与防御参考价值。
澳大利亚联邦警察（AFP）本周三上午在珀斯逮捕两名来自西澳大利亚的21岁和23岁男子，称其涉嫌参与一个“通过创建恶意开源软件窃取全球数千家企业”的网络犯罪集团，两人共面临14项网络犯罪指控，还押至9月18日再次出庭。
推荐理由：原文以记者调查和多方情报机构数据还原了TeamPCP成员被捕事件及其身份溯源过程，包含具体姓名、年龄、指控罪名、开庭时间与供应链攻击影响范围，便于安全团队了解该组织的运作方式和执法进展。
Google Threat Intelligence Group（GTIG）披露正在追踪 UNC6293、UNC7005 和 UNC5976 三个疑似具有俄罗斯背景的网络间谍集群，它们滥用应用密码、OAuth、设备代码和 WhatsApp 设备关联等合法认证流程，针对欧洲及美国的学术、航空航天与国防、政府和智库人员实施钓鱼。
推荐理由：Google Threat Intelligence Group 以一手追踪视角披露三个疑似俄罗斯网络间谍集群滥用合法认证流程（应用密码、OAuth、设备代码、WhatsApp 设备关联）针对学术、航空航天与国防、政府及智库人员的活动，含具体域名、IP、样本哈希与缓解建议，可用于威胁狩猎与防御加固。
美国司法部称，26岁加拿大男子Connor Riley Moucka（网名Judische、Waifu）已就计算机欺诈、共谋入侵与勒索等罪名认罪，承认在2024年2月至10月间利用窃取的登录凭据入侵至少165家使用Snowflake的客户，并窃取超过1亿AT&T客户的通话和短信历史记录。
Google Threat Intelligence Group（GTIG）披露，UNC6671 在 BlackFile 勒索品牌于 2026 年 5 月宣称停止后并未解散。
推荐理由：原文由 Google Threat Intelligence Group 发布，给出 UNC6671 多品牌勒索活动的共享基础设施、域名清单、IOC 与加固建议，并明确区分了组织自称与分析师评估，便于安全团队排查与加固。