从科技与开源的角度，导读国际隐私、匿名网络与审查新闻。
日本从 9 月中旬起有多家业者公告网站或 App 遭到入侵、会员数据外泄，汽车共享服务 Times Car 约 660 万个账号的数据被取得，其中约 160 万个含驾照等证件影像。到 10 月 9 日为止，本文没有查到官方点名攻击者，内阁官房长官 10 月 6 日表示不清楚这些事件是否相关。日本以外的读者，在这些服务有账号才受影响。
Ledger 10 月 15 日确认，犯罪团伙在正品硬件钱包里加装设置时截取恢复短语的部件，再经东南亚的经销商流入市场。到 10 月 13 日为止，Ledger 确认的盗取都与授权经销商 CryptoBilis 售出的设备有关，其他渠道的植入物报告还没有证实。Ledger 的正品验证检测不到这类植入物，在 CryptoBilis 买过设备且已经设置的人，Ledger 建议把资产转到新设备与新的恢复短语。
整理 16 篇原文，来自 Ledger、Ledger Support、Ledger Academy 等 10 个出处
Brave 的 AI 助手 Leo 10 月 15 日起，选用 GLM 5.3 Flash 模型的对话会在浏览器端加密，只在硬件隔离的计算区里解密处理。其他模型不在范围内，计算区的证明到 10 月 20 日为止仍由 Brave 的服务器代为检查，iOS 版查不到支持的说明。
整理 16 篇原文，来自 Brave、GitHub、Hugging Face 等 8 个出处
你家里的网络摄像头如果还用出厂的默认密码，可能被他人用来攻击其他网站。这一天，大批被入侵的摄像头与录像主机被用来攻击替许多网站处理网址查询的 Dyn，美国东岸许多网站一度无法访问。
加拿大的 C-22 合法访问法案 10 月 8 日在参议院进行二读辩论，到 10 月 18 日为止还没有二读通过。Signal 的副总裁在座谈会上表示，若被命令收集更多元数据就只能撤出加拿大，公共安全部长办公室则表示法案不要求解密端到端加密的信息。加拿大以外的读者现在不需要调整设置。
整理 9 篇原文，来自 Parliament of Canada、Senate of Canada、Public Safety Canada 等 7 个出处
Android 手机默认会自动验证电话号码，并把号码添加到这部手机登录的每一个 Google 账号，包括工作账号与次要账号。可以在设置里关闭验证，依 Android Authority 的报道，已添加的号码仍要到各个账号逐一移除。到 10 月 18 日为止，没有看到 Google 的公开回应。
整理 12 篇原文，来自 Android 說明、Android 帮助、Android Authority 等 8 个出处
你登录网站时弹出的证书警告，可能代表有人在连接中间冒充那个网站。这一天，监测中国网络审查的 GreatFire 发文指中国当局用假证书冒充 iCloud 网站，拦截用户的连接。
10 月 10 日一篇评论主张不要使用通行密钥，理由是网站可以用证明（attestation）机制限制用户能用的设备与软件，10 月 14 日有作者撰文回应。双方都同意通行密钥在多数情况下绑定域名、能防钓鱼，争点在证明会不会成为限制，以及该继续用通行密钥还是改用其他方式。
整理 19 篇原文，来自 Non-Functional、scotthelme.co.uk、W3C 等 12 个出处
Citizen Lab 10 月 15 日发表报告，以高信心把半岛电视台至少 45 台设备在 2024 到 2025 年遭到的攻击，关联到以色列广告公司 Discover-Tech 的定向广告与 Candiru 的间谍软件。报告确认的锁定对象只有半岛电视台，也没有说明被利用的漏洞。给一般读者的建议是屏蔽广告与限制广告标识符，报告也提到这些做法只能降低部分风险。
整理 15 篇原文，来自 Citizen Lab、IAB Europe、Adtimizer 等 13 个出处
你每次上网，网站都可能记下连接的 IP 地址。这一天，依法院的新闻稿，欧盟法院判决动态 IP 地址在网站有合法渠道识别访客时属于个人数据。
Tuta 与 Nextcloud 10 月 1 日推出集成，可以在 Nextcloud 里使用 Tuta，把收到的附件存进 Nextcloud、在 Tuta 日历创建 Nextcloud Talk 会议链接。App 要由 Nextcloud 管理员安装，到 10 月 18 日为止，两家的公告都没有交代附件存进 Nextcloud 之后的加密状态。
整理 15 篇原文，来自 Tuta、Nextcloud、CyberInsider 等 5 个出处
Signal 9 月 28 日发布 iOS 8.30，加密备份 Signal Secure Backups 可以在 Android 与 iPhone 之间恢复，换手机时能把聊天记录带到另一个平台。Google 9 月在 Android 推出密码管理器之间的迁移流程，不必导出文件，公告列出四款支持的密码管理器。
整理 17 篇原文，来自 Signal、Google、Android Developers 等 8 个出处
你在公共 Wi-Fi 上搜索时，关键词是否加密要看搜索服务。这一天，Google 宣布登录的用户默认改用 HTTPS 搜索。
10 月 3 日到 10 月 11 日的 7 则新闻，包括 Telegram Desktop 已修复的文件读取漏洞、Bitwarden 商店版的许可证变更、基于 Android 17 的 LineageOS 24、Nitter 的资金与法律协助、以 ESP32-C3 制作的 DNS 广告拦截器、印度新德里的移动网络关闭与平台通知，以及 Psiphon 因加拿大 C-22 法案考虑离开。
整理 18 篇原文，来自 beaksec、GitHub、Bitwarden Community Forums 等 12 个出处
一位设计师 9 月发布 Mac 上的开源图像编辑软件 Compositor，免费、不用账号，作者自述代码全由 AI 写成。本文读到的批评集中在「我做的」这个说法，以及 AI 写的代码由谁检查、谁维护。到 10 月 12 日只支持 Apple 芯片、macOS 26 以上的 Mac。
整理 19 篇原文，来自 Compositor、GitHub、X 等 4 个出处
你到印度时，手机上的部分 App 在当地可能无法使用。这一天，印度《信息技术法》施行，政府可以下令拦截通信并要求协助解密。
Google 10 月 6 日公告，加纳、塞拉利昂与美属萨摩亚的国家代码顶级域名遭到劫持，攻击者取得 Google 与其他组织域名的 HTTPS 证书。Chrome 已拦截找到的证书，自己管理域名的人可以监控证书透明度日志。
整理 12 篇原文，来自 Google、Let's Encrypt 社区论坛、Ars Technica 等 12 个出处
开源的 PDF 工具集 BentoPDF 依官方说明在浏览器里完成合并、压缩、OCR 与删除元数据，不必把文件上传到在线转换网站。打开官网就能用，界面有简体中文，部分功能使用时要从第三方网站 jsDelivr 下载程序。
整理 18 篇原文，来自 BentoPDF、GitHub、It's FOSS 等 8 个出处
你的手机连上 Wi-Fi 时用的加密，有弱点时要靠系统更新修补。这一天，研究者公开 WPA2 Wi-Fi 加密的弱点 KRACK。
Let's Encrypt 公告 2027 年 2 月 10 日起，默认签发的证书有效期从 90 天缩短为 64 天。用它搭建网站或自建服务的人，要确认自动续期不是写死在固定天数，公告没有针对一般访问者的说明。
整理 13 篇原文，来自 Let's Encrypt、CA/Browser Forum、Ars Technica 等 7 个出处
Apple 10 月 2 日预告之后会让 Mac 用户只能通过非常明确的操作授予「完全磁盘访问权限」。理由包括部分开发者的用法可能让用户数据暴露，以及 AI 智能体会让风险增加。Apple 没有写版本与上线时间，到 10 月 12 日为止版本说明都没有写到这项控制。
整理 17 篇原文，来自 Apple、TechCrunch、Decrypt 等 12 个出处
你的个人信息如果被台湾的业者泄露，业者要向个人资料保护委员会通报的修正条文还没有施行。这一天，新加坡国会通过规定设立个资保护委员会的《个人资料保护法》。
Brave 桌面版从 1.94 起提供电子邮件别名，注册网站时用转发邮箱代替真实邮箱。每人免费 5 个，要先创建 Brave 账号。到 10 月 12 日为止手机版还没有，别名能否回信官方没有写。
整理 16 篇原文，来自 Brave、GitHub、Apple 等 7 个出处
VPN 服务商 Mullvad 一位联合创始人的政治捐款引发争议后，Tor Project 10 月 9 日说明不终止合作，但暂停联合品牌宣传并修改 Mullvad Browser 的描述。两款浏览器没有停止维护的公告，声明下的留言看法分歧。
整理 13 篇原文，来自 Tor Project、Tor Project Forum、Mullvad 等 7 个出处
你在 Zoom 开的会议默认不是端到端加密，主持人要自己开启。这一天，Zoom 宣布推出端到端加密的技术预览。
iPhone 与 iPad 上的 Firefox 内置广告拦截，9 月中的 156 版版本说明首次列出。功能默认关闭，要自己到设置开启。一篇个人博客整理的 Android 系统层做法多半要信任提供服务的运营方或 App。
整理 11 篇原文，来自 Mozilla、Kevin Boone、Google 等 7 个出处
俄罗斯电信运营商 Beeline 10 月 6 日公布，2026 年以来把 1,910 万通诈骗电话转给 AI 语音角色接听，数字都是运营商自报。这项服务只在俄罗斯的 Beeline 网络上运行。接到可疑电话时，仍是先挂断再核实。
整理 12 篇原文，来自 Beeline、ict-online、動區動趨 等 10 个出处
你的 iPhone 地区设为中国大陆或香港时，Safari 的欺骗性网站警告可能用到腾讯的安全浏览服务。这一天，一位研究者在博客写到 Safari 的这项功能看来会把部分浏览信息交给腾讯。
日本从 9 月中旬起有多家业者公告网站或 App 遭到入侵、会员数据外泄，汽车共享服务 Times Car 约 660 万个账号的数据被取得，其中约 160 万个含驾照等证件影像。到 10 月 9 日为止，本文没有查到官方点名攻击者，内阁官房长官 10 月 6 日表示不清楚这些事件是否相关。日本以外的读者，在这些服务有账号才受影响。
整理 39 篇原文，来自 JPCERT/CC、Metabase、内閣官房国家サイバー統括室 等 32 个出处
桌面版 Firefox 157（9 月 29 日发布）在电脑被设置成记录加密密钥时会显示警告。Mozilla 的帮助页提到多半是杀毒或安全软件设置的，出现警告不代表电脑中毒，打不开网站时可以先检查这类软件的 HTTPS 扫描功能。
整理 5 篇原文，来自 Mozilla、Mozilla Bugzilla、RFC Editor 等 4 个出处
你在中国大陆访问 BBC 中文网简体版，2026 年 10 月的测量结果几乎都是异常或失败。这一天，BBC 报道北京的网络运营商疑似封锁了 BBC 的网站。
