กระบวนการยืนยันว่าซอฟต์แวร์ตัวหนึ่งมีความปลอดภัยไม่ใช่แค่การเข้ารหัสที่ซับซ้อน (ความซับซ้อนอาจจะสร้างช่องโหว่เสียเองด้วย) หรือการโอเพนซอร์สแล้วอ้างว่ามีการตรวจสอบจากภายนอกแต่โครงการที่มีคนใช้งานน้อยเกินไปก็มักไม่ได้รับการตรวจสอบเพียงพออยู่ดี รอบนี้ทาง Open Technology Fund จึงจัดเงินทุนมาจ้างที่ปรึกษาให้ตรวจสอบความปลอดภัยของโปรแกรมแชตเข้ารหัสอย่าง Cryptocat

มีรายงานจากนักพัฒนาแสดงอีเมลจากอเมซอน แจ้งว่านักพัฒนานำกุญแจลับสำหรับควบคุม API ของ AWS ไปใส่ไว้ในแอพพลิเคชั่น การที่อเมซอนจะรู้ได้ว่ามีกุญแจของ AWS อยู่ในแอพพลิเคชั่นแสดงว่าต้องมีการไล่ดีคอมไพล์โค้ดของแอพพลิเคชั่นมาตรวจสอบ

อย่างไรก็ดีการทำกุญแจลับของ AWS ไปวางไว้ในแอพพลิเคชั่นนับเป็นความเลินเล่ออย่างร้ายแรง แฮกเกอร์ที่มุ่งร้ายสามารถดึงกุญแจออกมาได้เช่นเดียวกับทางอเมซอนเอง หากกุญแจเหล่านี้ตกไปอยู่ในมือแฮกเกอร์อาจจะทำสร้างเซิร์ฟเวอร์บนอเมซอนเพื่อใช้โจมตีเหยื่ออื่นๆ ต่อไปโดยใช้บัญชีของนักพัฒนา

ก่อนหน้านี้เคยมีรายงานกุญแจลับ AWS ถูกโพสไว้บน GitHub จำนวนมาก

เมลลิงลิสต์ Full Disclosure เป็นจุดแลกเปลี่ยนช่องโหว่ที่ก่อตั้งมาตั้งแต่ปี 2002 ช่องโหว่ที่เคยกระจัดกระจายอยู่ตามเว็บหรือบล็อกต่างๆ มักสามารถหารายละเอียดได้ที่นี่ แต่ผู้ดูแลและผู้ก่อตั้ง John Cartwright ก็ทนไม่ไหวเมื่อมีนักวิจัยความปลอดภัย "ในชุมชนเอง" ขอให้ลบข้อมูลจำนวนมากออกจากฐานข้อมูล

กลุ่มผู้ให้บริการอินเทอร์เน็ต, เว็บ, และบริษัทให้บริการจดทะเบียนโดเมนรวมตัวกันต่อสู้การใช้โดเมนเพื่อมุ่งร้ายต่อผู้ใช้ เช่น การวางมัลแวร์, เว็บถูกแก้ไขเพื่อเป็นตัวกลางเป็นสู่มัลแวร์, ทำเว็บปลอม (phishing), และบอตเน็ต โดยใช้ชื่อ Secure Domain Foundation (SDF)

เมื่อวานนี้ผู้ผลิตแอพพลิเคชั่นที่ใช้ชื่อว่า SCIENTIFIKA MEDIA ได้อัพโหลดแอพพลิเคชั่นเลียนแบบธนาคารไทยหลายแห่ง ได้แก่ ธนาคารกรุงไทย, ธนาคารกรุงเทพ, ธนาคารไทยพาณิชย์, ธนาคารกรุงศรีอยุธยา, และธนาคารธนชาต

เมื่อสักครู่ทางธนาคารไทยพาณิชย์ออกมาแจ้งเตือนแล้วแอพพลิเคชั่นเหล่านี้ไม่ใช่ของธนาคาร โดยแอพพลิเคชั่นของธนาคารจริงจะมีชื่อผู้พัฒนาเป็นธนาคารไทยพาณิชย์โดยตรง

ผู้ที่ดาวน์โหลดแอพพลิเคชั่นธนาคารช่วงวันสองวันนี้อาจจะต้องรีบเข้าไปตรวจสอบว่าได้ติดตั้งแอพพลิเคชั่นไปบ้างหรือไม่ ถ้าเผลอติดตั้งไปแล้วควรเร่งติดต่อธนาคารครับ

Tumblr เปิดให้บริการการยืนยันตัวตนด้วยปัจจัยที่สอง (two-factor authentication) แล้วในวันนี้ โดยเปิดให้ผู้ใช้เข้าหน้า Settings เพื่อเปิดใช้งานได้ทันที

ผู้ใช้ที่จะเปิดใช้บริการนี้จะต้องยืนยันหมายเลขโทรศัพท์กับทาง Tumblr เสียก่อน จากนั้นจึงสร้างรหัสผ่านจาก Google Authenticator ได้

ไมโครซอฟท์รายงานบั๊ก Microsoft Word ทำให้แฮกเกอร์ที่ส่งไฟล์มุ่งร้ายสามารถเข้าควบคุมเครื่องได้จากการเปิดไฟล์ขึ้นมาดู โค้ดที่ฝังอยู่ในไฟล์ RTF จะมีสิทธิเท่ากับผู้ใช้ที่ล็อกอินอยู่

บั๊กนี้ยังไม่มีการอุดช่องโหว่ออกมา คำแนะนำระหว่างนี้คือปิดความสามารถในการเปิดไฟล์ RTF ของ Microsoft Word ไปชั่วคราวเพื่อรอแพตซ์ต่อไป, ส่งอีเมลหากันเป็นเท็กซ์, และเปิดใช้งาน Enhanced Mitigation Experience Toolkit ไปก่อน ระหว่างนี้ไมโครซอฟท์กำลังดูความเป็นไปได้ว่าจะปิดบั๊กตัวนี้อย่างถาวรได้อย่างไร โดยอาจจะออกแพตซ์ในรอบหน้าหรือออกแพตซ์นอกรอบ

Josh Davis เป็นโปรแกรมเมอร์ที่กำลังเรียนจะจบในเดือนพฤษภาคม หลังจากอ่านเรื่องของ @N ที่ทวิตเตอร์แก้ปัญหาได้ล่าช้า จึงลองค้นหาเว็บเพื่อรวบรวมว่าบริการใดรองรับการยืนยันตัวตนด้วยปัจจัยที่สอง (two-factor authentication) บ้าง และพบว่าเว็บจำนวนมากยังไม่รองรับบริการนี้

Davis สร้างเว็บ TwoFactorAuth.org รายงานว่ามีเว็บใดบ้างที่รองรับการยืนยันตัวตนด้วยปัจจัยที่สองและรองรับผ่านช่องทางใดบ้าง เช่น ผ่าน SMS, ใช้แอพพลิเคชั่น Google Authenticator, ใช้แอพพลิเคชั่น Authy, หรือมีช่องทางอื่นๆ