-Malicious LLM proxy routers found in the wild
-Fake Ledger crypto-wallet stole $9.5m in two weeks
-Silent group hit almost 40 law firms in a year
-Google cracks down on back button hijacking
-Hallmark leak impacts 1.7m
-Booking[.]com discloses data breach
-NYK reports breach of fuel system
-The Big Three all hacked
-Kraken denies hack after failed extortions
-Patch Tuesday is out
-Linux 7.0 is out
-OpenSSL 4.0 is out

Newsletter: news.risky.biz/risky-bulletin-…
Podcast: risky.biz/RBNEWS551/

📺 Risky Business (833): The Great Mythos Freakout of 2026

risky.biz/video/risky-business…

Human Security has identified a scam network named Pushpaganda that used fake news articles to trick users into enabling push notifications, and then using those noties to repeatedly lure users on malicious sites

humansecurity.com/learn/resour…

OpenSSL 4.0 is out, PQC support is now live

github.com/openssl/openssl/rel…

Kazakhstan detains a group of four for driving around populated areas with an SMS blaster and sending out spam

gov.kz/memleket/entities/afm/p…

The FCC selected the ioXt Alliance as the new test lab for the US Cyber Trust Mark program

fcc.gov/document/fcc-selects-n…

ioxtalliance.org/

Russia starts blocking BlueSky

(It's because they're tired of my shitposting)

therecord.media/russia-cracks-…

A threat actor has published more than 200 packages on npm claiming to integrate with a new AI coding agent named Stardrop.

The libraries are obviously malicious and drop a cloud and AI credential harvester.

opensourcemalware.com/blog/sta…

Socket Security has discovered a cluster of 108 malicious Chrome extensions that steal and send user credentials to the same command-and-control server.

The extensions were published through five developer accounts and are still live on the official Chrome Web Store.

socket.dev/blog/108-chrome-ext…

The year is 2073.

The nuclear apocalypse is upon us.

Food is scarce.

Immortan Joe still rules the Citadel.

...and Sean Plankey is still waiting to be approved as CISA Director

cyberscoop.com/national-securi…

A malicious Ledger crypto-wallet that managed to sneak onto the official Mac App Store has stolen almost $10 million from more 50 victims. App was live for almost 2 weeks: t.me/investigations/313

One of the campaign's victims is American singer Garrett Dutton, who lost his retirement fund: thestreet.com/crypto/markets/m…

Cryptocurrency exchange Kraken is being extorted but says there's no hack

xcancel.com/c7five/status/2043…

JSAC 2026 videos: youtube.com/playlist?list=PLgE…

NDSS 2026 videos: youtube.com/@NDSSSymposium/pla…

The Silent data extortion group has hacked and ransomed almost 40 law firms over the past year

databreaches.net/2026/04/13/a-…

I could have spent my entire 10-year reporter career writing articles about back button hijacking techniques

Google sure took its sweet damn time... 😑

developers.google.com/search/b…

The FUNNULL CDN, sanctioned by the US last year, has returned, but with a geofence block of US visitors

silentpush.com/blog/triad-nexu…

Jamf's Nir Avraham has published a report looking at how the Predator spyware exploits, interacts, and modifies the iOS kernel for its operations

"The engine has never been reported on — until now"

jamf.com/blog/predator-spyware…

In queste ore si sta verificando un attacco per rubare gli account agli utenti Mastodon. Ecco cosa sapere per evitare le truffe su Mastodon e nel Fediverso con la guida di @FediTips

Il post è stato ripubblicato sul gruppo @fediverso

Come in qualsiasi altro social network, anche su Mastodon e nel più ampio Fediverso potresti imbatterti in truffatori. Ecco come individuarli e cosa fare in caso di dubbio.

1. Truffa: "Abbiamo bisogno che tu verifichi il tuo account"
2. Truffa: "Vogliamo pagarti per i post / instaurare una collaborazione / offrirti una ricompensa"
3. Truffa: "Si prega di modificare temporaneamente l'indirizzo email del proprio account"

• Cosa devo fare se vedo un post truffaldino?
• Dovrei vergognarmi se sono caduto vittima di una truffa?

NB: questa guida è una traduzione della pagina realizzata da @FediTips

[SEGUE]

macfranc

2026-04-14 09:10:29

1) Esempio di truffa: "Abbiamo bisogno che tu verifichi il tuo account" - Torna al primo messaggio

Qualcuno che si spaccia per un amministratore di un server Mastodon inventa una scusa per richiedere la verifica dell'account, magari sostenendo che l'utente abbia compiuto un'azione sospetta. Successivamente, fornisce un link su cui cliccare per inserire i dati della carta di credito o altre informazioni personali. Non cliccare su questo link e non fornire alcuna informazione: si tratta di una truffa.

Nessun amministratore legittimo ti chiederà mai di verificare il tuo account. Su Mastodon esiste un sistema di verifica, ma è completamente facoltativo e non prevede di cliccare su link sospetti o di fornire dati personali.

@fediverso

[SEGUE]♲ @macfranc@poliversity.it:

In queste ore si sta verificando un attacco per rubare gli account agli utenti Mastodon. Ecco cosa sapere per evitare le truffe su Mastodon e nel Fediverso con la guida di @FediTips

Il post è stato ripubblicato sul gruppo @fediverso

Come in qualsiasi altro social network, anche su Mastodon e nel più ampio Fediverso potresti imbatterti in truffatori. Ecco come individuarli e cosa fare in caso di dubbio.

1. Truffa: "Abbiamo bisogno che tu verifichi il tuo account"
2. Truffa: "Vogliamo pagarti per i post / instaurare una collaborazione / offrirti una ricompensa"
3. Truffa: "Si prega di modificare temporaneamente l'indirizzo email del proprio account"

• Cosa devo fare se vedo un post truffaldino?
• Dovrei vergognarmi se sono caduto vittima di una truffa?

NB: questa guida è una traduzione della pagina realizzata da @FediTips

[SEGUE]

How do I verify my account on Mastodon and the Fediverse? | Fedi.Tips – An Unofficial Guide to Mastodon and the Fediverse

An unofficial guide to using Mastodon and the Fediverse

^fedi.tips

Truffe su Mastodon: in considerazione degli attacchi di oggi, abbiamo convertito in "formato mastodon" la guida di @FediTips

La guida è costituita da un thread di sei messaggi, con alcuni riferimenti ipertestuali. Fateci sapere se vi è piaciuta

poliversity.it/@macfranc/11640…

@fediverso

NB: Se volete dare il vostro contributo all'autore della guida originale, potete farlo qui: fedi.tips/about-this-site/

macfranc

2026-04-14 09:09:09

In queste ore si sta verificando un attacco per rubare gli account agli utenti Mastodon. Ecco cosa sapere per evitare le truffe su Mastodon e nel Fediverso con la guida di @FediTips

Il post è stato ripubblicato sul gruppo @fediverso

Come in qualsiasi altro social network, anche su Mastodon e nel più ampio Fediverso potresti imbatterti in truffatori. Ecco come individuarli e cosa fare in caso di dubbio.

1. Truffa: "Abbiamo bisogno che tu verifichi il tuo account"
2. Truffa: "Vogliamo pagarti per i post / instaurare una collaborazione / offrirti una ricompensa"
3. Truffa: "Si prega di modificare temporaneamente l'indirizzo email del proprio account"

• Cosa devo fare se vedo un post truffaldino?
• Dovrei vergognarmi se sono caduto vittima di una truffa?

NB: questa guida è una traduzione della pagina realizzata da @FediTips

[SEGUE]

How to avoid scammers on Mastodon and the Fediverse | Fedi.Tips – An Unofficial Guide to Mastodon and the Fediverse

An unofficial guide to using Mastodon and the Fediverse

^{FediTips (Fedi.Tips - An Unofficial Guide to Mastodon and the Fediverse)}

🎙️ Between Two Nerds: How AI will upset state cyber competition

risky.biz/BTN162/

Google and Microsoft - the global email service duopoly - block other services in the name of "fighting spam".

I get it. Spam is a perpetual arms race. But the opaqueness of Google and Microsoft's practices and decades-long predatory self-dealing mean no one trusts them to apply even their own rules.

Email still works interoperably. Just about. Getting off US duopolies and monopolies is vital for the future of the internet. So in that way, digital sovereignty is vital to save the internet.

Paul Taylor

2026-04-12 19:40:42

I have been using email for 40 years. It used to work.

As an (independent) academic researcher, I need to contact new people, primarily in universities, to ask questions.

I refuse to use Google, Microsoft or the other American IT giants.

But they are increasingly preventing refuseniks from sending email at all.

I know what RFC, DNS, MX, SPF and DMARC mean. My email goes through small British companies with intelligent, friendly and helpful staff.

mxtoolbox.com says that I must have DMARC to send email to M$. So I set it up. I now get a dozen copies of the same report from G or M$ for each email that I send out.

They show that my email gets to G and M$ sites, but then it is marked as spam.

The stupid senior management of numerous universities has surrendered their staff email to M$.

Web searches and AIs preach about spam. I don't send spam - I want to contact my colleagues.

Rumour has it that previously unknown senders are treated with suspicion and their emails are sent to spam. In other words, it is impossible to **initiate** communication with someone.

Let's be blunt about this. They are a mafia that is enforcing an **oligopoly**. It's got nothing to do with reducing spam --- I have no doubt that they let through emails from "trusted partners", ie companies that bribe them enough to send their spam.

The result of this is that it will only be possible to send emails by paying M$ to do it, and then it will only be allowed to express "approved" opinions.

What can we do about this?

At the very least, those of you with senior positions in universities can tell your management to revert to competent standards-based email systems hosted on Linux systems.

Linux kernel 7.0 is out

lore.kernel.org/lkml/CAHk-=wj2…