全球网络安全舆情报告（2018年10月） 国信办《区块链信息服务管理规定》草案征求意见；欧盟议会通过《非个人数据自由流动条例》；史上最大数据泄漏案以赔偿5000万美元和解… 政策&监管 国信办《区块链信息服务管理规定（征求意见稿）》公开征求意见 区块链 中国网信网 2018-10-19 《规定》要求，区块链信息服务提供者应当在提供服务之日起十个工作日内通过国家互联网信息办公室区块链信息服务备案管理系统填报《区块链信息服务备案登记表》。区块链信息... 跨境电子取证的数据主权之争：我国出台《国际刑事司法协助法》回应美国Cloud Act 公检法 个人信息与数据保护实务评论 2018-10-30 《国际刑事司法协助法》第四条第三款规定，“非经中华人民共和国主管机关同意，外国机构、组织和个人不得在中华人民共和国境内进行本法规定的刑事诉讼活动，中华人民共和国... 市场监管总局：建议关闭智能门锁的人脸识别、远程开锁等功能 监管 中国市场监管 2018-10-29 国家市场监管总局组织开展了智能门锁质量安全风险监测，发现智能门锁产品在远程开锁和人脸识别方面风险较高，在感应卡识别开锁方面隐患较多，另外在密码逻辑安全、抗电磁干... 上海23家APP运营企业被约谈，过度索取用户个人信息 监管 中新网 2018-10-16 上海市网信办近期对上海最常用的23个APP获取用户个人信息等相关权限申请情况开展抽查，发现其中约30%与所提供的服务没有对应关系，属于不合理范围。 欧盟议会通过《非个人数据自由流动条例》 法规 网络法前哨 2018-10-08 10月4日，欧洲议会投票通过《非个人数据自由流动条例》，该条例有助于在欧盟单一数字市场战略下推动欧盟打造富有竞争力的数字经济。以下是前哨摘译的相关报道和背景信息，... 日本金融厅更新网络政策提高金融业基础设施修复力 金融保险 国家网络威胁情报共享开放平台 2018-10-22 日本金融厅近期发布了最新的政策文件，旨在提高金融业的网络修复力，为2020年东京奥运运会日本金融业基础设施的网络安全做好准备。 产业趋势 Gartner公布2019年十大战略科技发展趋势 趋势洞察 GartnerInc 2018-10-19 近日，Gartner公布了各企业机构须在2019年了解和关注的首要战略科技发展趋势。Gartner将战略科技发展趋势定义为具有巨大颠覆性潜力、脱离初期阶段且影响范围和用途正不断扩... 全球网络安全人才缺口达到293万，亚太地区214万 教育科研 安全内参 2018-10-18 根据2018年(ISC)2网络安全劳动力研究表明，北美、拉丁美洲、亚太地区（APAC）以及欧洲、中东和非洲（EMEA）的全球网络安全人才缺口已扩大至近300万。 美国网络攻击归因溯源能力现状浅析 网络攻击 信息安全与通信保密杂志社 2018-10-02 本文拟从美方单方面精心“设计”后公布的所谓“证据”进行分析，试图从中推断美方的网络安全攻防团队、情报执法团队是如何对其认为的隶属俄罗斯 GRU 的这支黑客力量实施溯源、... 从防御转向进攻：特朗普领导下的美国网军力量建设特点 军队军工 学术plus 2018-10-19 本文首先梳理了国际互联网治理中“阵营观念分歧明显”与“网络军事化问题为核心争论”的现状与特点，而后总结了近年来美国网军力量的建设进展，最后为我国网络建设提出发展建议... 深度对话：美国国安局如何看待供应链安全？ 专家观察 安全内参 2018-10-17 本文详尽讨论了对技术供应链进行监管时所面临的各类挑战。 我国正式发布网络安全威胁信息格式规范 标准 FreeBuf 2018-10-17 这意味着我国网络安全在法规、规范方面又更进一步，同时，也顺应了当前阶段网络安全领域威胁情报的发展现状和趋势。 三季度全国网信系统重拳出击：关闭账号54万个、网站1785家 监管 中国网信网 2018-10-31 三季度，全国网信系统持续加大行政执法力度，依法查处网上各类违法信息和网站。 主流浏览器计划2020年弃用TLS 1.0和TLS 1.1 安全运营 黑客视界 2018-10-17 根据谷歌、微软、苹果和Mozilla四大公司发布的公告，他们的网络浏览器将在2020年上半年完全放弃对TLS 1.0和1.1的默认支持。 威胁态势 CNCERT：2018年10月我国DDoS攻击资源月度分析报告 监管 国家互联网应急中心CNCERT 2018-11-23 本月利用肉鸡发起DDoS攻击的控制端中，境外控制端最多位于美国；境内控制端最多位于贵州省，其次是江苏省、广东省和浙江省，按归属运营商统计，电信占的比例最大。 2018年上半年的数据泄露事件危及45亿条记录 数据泄露 金雅拓 2018-10-09 被盗、丢失或外泄的数据记录相比2017年上半年令人惊讶地增加了133％；社交媒体的数据泄露事件占被泄露记录的56％以上；65％的数据泄露事件涉及身份盗用。 欧洲威胁情报公司Blueliv推出第三季度账号盗窃生态报告 数据泄露 黑客视界 2018-10-14 网络威胁情报商Blueliv在最近发布了一份基于近三个月的全球网络凭证窃取情况的分析报告，其主要内容如下。 美国消费者协会：83%路由器固件存在漏洞 物联网 黑客视界 2018-10-10 美国消费者协会的调查显示，因为固件安全漏洞补丁未得到及时更新，在美国家庭和办公室中，每六个Wi-Fi路由器中有五个会使用户面临网络攻击的风险。 TB级DDoS攻击时代已到来 网络攻击 安全牛 2018-10-17 攻击规模成倍增长，经常超出大多数服务提供商的安全防御能力。TB级DDoS攻击时代已到来！ 21个触目惊心网络犯罪统计数据 网络犯罪 安全牛 2018-10-20 网络犯罪正成为互联网的“达摩克利斯之剑”。随着技术的不断发展，2018年网络犯罪的空间也变得越来越大。 安全事件 中国间谍芯片迷雾 制造业 安全牛 2018-10-06 谁在说谎？彭博社？苹果？亚马逊？超微( Super Micro )？ 华夏银行技术处长编写病毒植入系统，盗窃700余万受审 公检法 法制晚报 2018-10-10 未审批私自做核心系统漏洞测试 起贪念ATM机上跨行取款1000多笔 职务侵占700余万元 揭秘河北非法篡改网络数据库案：篡改考试结果伪造证书、影响上万条数据 公检法 中新网 2018-10-23 经查，该犯罪团伙涉嫌通过网络搜集攻击漏洞、网上发布需求、恶意篡改考试结果、伪造考试合格证书，涉案金额达600余万元。 河北警方：制造木马窃取上百万公民信息倒卖团伙悉数落网 公检法 法制晚报 2018-10-29 “黑客”提供技术支持，利用木马偷取个人信息，网上大肆兜售，线下购买后电话推销……共非法获取、买卖公民个人信息上百万条，非法牟利上百万元。 国泰航空940万名乘客个人数据被盗，包含出行地点数据 交通物流 cnBeta 2018-10-25 国泰航空的940万名乘客的记录被盗，另外含有姓名、出生日期、住址等个人信息的护照信息也可能已经泄露。据悉，此次事件还涉及到了每位乘客的具体出行地点以及客户服务代表... 5年损失数十亿美元：苹果与“骗保”团伙的攻防战 网络犯罪 少数派 2018-10-14 苹果在过去的数年里一直在应对国内专业的骗保团队。而在顶峰时期，有多达 60% 的 iPhone 保修期内维修都存在着欺诈行为。 GhostDNS劫持10万台路由器，流量被导向钓鱼网站 网络攻击 cnBeta 2018-10-03 目前恶意代码已经感染了巴西多达 10 万台互联网路由器，其将流量重定向到了仿冒的各大银行、电信企业、互联网服务提供商、甚至 Netflix 视频网站，并疯狂收集金融机构相关... 超3万台印度路由器遭挖矿软件劫持：利用浏览器产出门罗币 物联网 快科技 2018-10-08 过去一个月内，印度境内受到恶意挖矿软件劫持的路由器在短时间内已经增长了一倍，截止10月5日，黑客已经破解了全国超过3万台路由器。 3500万美国选民记录黑客论坛有售 政务 安全牛 2018-10-24 11月中期选举临近，研究人员发现某黑客论坛上竟然在售卖3500万条美国选民的记录。据称该选民数据记录包含全名、电话号码、住址、选举历史和其他未明确的选举数据。 谷歌关闭个人版Google+：因50万用户数据遭到曝露 数据泄露 新浪科技 2018-10-09 谷歌称，公司今年3月就已发现这个漏洞并推出补丁加以修复，并表示没有证据表明用户数据被滥用，也并无证据表明任何开发者明知或利用了这个漏洞。 又一S3存储桶配置错误，暴露52.7万美国选民的个人信息 政务 黑客视界 2018-10-23 UpGuard网络风险团队于近日透露，一个归属于美国茶党的S3存储桶意外暴露了近52.7万选民的个人信息。 “俄305名间谍名单遭曝光”溯源：半年前在荷兰的失败行动 国家安全 澎湃新闻 2018-10-10 半年前，荷兰情报部门在挫败一起俄罗斯间谍活动后，英国调查人员顺藤摸瓜获得了一份包含305人的名单，这些人被认为都与格鲁乌存在关联。如果这份名单的真实性得到确认，对... 比利时外交部遭电话诈骗近千万元人民币，追讨一年多仍无果 网络犯罪 海外网 2018-10-09 8日，比利时外交部委托律师在香港高等法院提起诉讼，请求法庭帮助追回其中接近17万欧元(约合人民币135万元)的被骗款项。 安全性太差，国内一物联网公司遭美国证监会点名批评 漏洞 云有料 2018-10-10 这一次出现问题的是中国监控摄像机制造商雄迈，因其XMEye P2P云服务的安全性较差而受到了美国证券交易委员会研究人员的点名批评。 美国GAO武器系统安全报告：先进武器装备多存在安全漏洞 漏洞 FreeBuf 2018-10-11 美国政府问责局发布报告称，美国国防部开发的武器系统都存在安全漏洞，攻击者可以控制这些武器系统，甚至破坏其功能。 第三方供应商遭攻击，五角大楼泄露3万雇员和服务人员信息 军队军工 安全内参 2018-10-17 美国国防部通过第三方供应商遭遇数据泄露，导致至少30,000名服务人员和雇员的个人和支付卡信息受到损害。 3秒钟视频的泄露导致12万英镑罚款 监管 安全牛 2018-10-18 英国隐私监管机构信息专员办公室(ICO)对希思罗机场处以12万英镑罚款，起因是去年10月某平民在伦敦大街上捡到一个含有机场敏感安全信息的U盘。 史上最大数据泄漏案和解：雅虎向2亿用户赔偿5000万美元 公检法 网易科技 2018-10-24 雅虎已经同意向2亿用户支付5000万美元赔偿金，并为他们提供为期两年的免费信用监控服务，以此作为2013年和2014年发生的数字盗窃事件的赔偿。 Facebook因“剑桥分析”数据泄露事件在英国受领50万英镑顶格罚款 监管 中新网 2018-10-26 因“剑桥分析”公司泄露个人信息丑闻，英国信息专员办公室(ICO)25日对Facebook处以50万英镑罚款，这是该英国信息监管机构目前罚款的最高限额。 三家生物公司违规送人类遗传信息出境被科技部处罚 医疗卫生 新京报 2018-10-25 违规送人类遗传信息出境被科技部罚，华大基因：整改后已恢复国际合作，药明康德、艾德生物截至发稿时暂未获得回复。 香港无人机表演疑遭黑客入侵干扰，超40架坠海 网络攻击 中新网 2018-10-29 香港旅游发展局主办的“美酒佳肴巡礼”日前举行，安排100架无人机进行表演，但27日却怀疑遭黑客入侵干扰，导致超40架无人机失控坠海。旅发局认为是有人蓄意干扰。 咨询公司Rice Consulting云泄露大量敏感数据：曾为美国民主党筹款432万美元 数据泄露 黑客视界 2018-10-30 Hacken网络风险研究主管Bob Diachenko在本月17日通过Shodan搜索引擎发现了一台因配置错误而公开暴露在互联网上的Buffalo TeraStation NAS网络附加存储器。分析后发现，未受... “科技盗贼”入侵法国某加油站，篡改油价盗取大量燃油 公检法 中新网 2018-10-29 日前，法国北部瓦兹省加油站不断遭到黑客入侵，盗窃团伙通过技术手段“遥控”加油站，操纵油价，盗取大量汽车燃料。 晋江某网店ERP系统50万条顾客资料泄露，报案后警方抓获9名嫌疑人 互联网 泉州网警巡查执法 2018-10-31 近日，泉州网安支队协助晋江、安溪警方侦破两起侵犯公民个人信息案，共抓获犯罪嫌疑人27名，缴获公民个人信息1000余万条。 漏洞预警 国家漏洞库CNNVD：关于微软多个安全漏洞的通报 漏洞 CNNVD安全动态 2018-10-11 成功利用上述安全漏洞的攻击者，可以在目标系统上执行任意代码。微软多个产品和系统受漏洞影响。 国家漏洞库CNNVD：关于Oracle WebLogic Server远程代码执行漏洞的通报 漏洞 CNNVD安全动态 2018-10-17 攻击者可利用该漏洞在未授权的情况下发送攻击数据，通过T3协议在WebLogic Server中执行反序列化操作,最终实现远程代码执行。 国家漏洞库CNNVD：关于macOS和iOS内核漏洞情况的通报 漏洞 CNNVD安全动态 2018-10-31 成功利用漏洞的攻击者可能对目标系统执行恶意代码或使系统崩溃重启。iOS11及其以下版本、MacOS High Sierra 10.13.6及其以下版本的设备均受此漏洞影响。 工业互联网安全应急响应中心：关于华硕路由器存在跨站脚本攻击漏洞的情况通报 漏洞 工业互联网安全应急响应中心 2018-10-22 分析表明，该漏洞允许远程攻击者向设备注入任意Web或HTML脚本，导致Logout.asp, Main_Login.asp, apply.cgi, clients.asp, disk.asp, disk_utility.asp, or internet.asp等... 工业互联网安全应急响应中心：关于Cisco FXOS和NX-OS软件链路层协议拒绝服务漏洞的情况通报 漏洞 工业互联网安全应急响应中心 2018-10-23 分析表明，该漏洞是由于LLDP协议帧头的类型、长度、值（TLV）字段的输入验证不当造成的。攻击者可以将精心设计的LLDP数据包发送到目标设备上的接口来利用此漏洞，导致设备... ICS-CERT预警：维控WECON PI Studio曝多个漏洞，且暂无补丁可用 漏洞 黑客视界 2018-10-10 研究人员Mat Powell和Natnael Samson在WECON的PI Studio HMI软件中发现了多个安全漏洞。虽然这些漏洞已经得到了WECON的确认，但到目前为止该厂商仍未发布任何补丁。 FDA：警惕可编程医疗设备漏洞引发的安全问题 医疗卫生 代码卫士 2018-10-13 美国食品和药物管理局 (FDA) 针对医生用于检查心电起搏设备的等两款编程设备发出网络安全公告，表示这些设备中存在一个漏洞，可导致对程控器的越权访问。 Ghostscript任意文件读写漏洞预警分析 漏洞 360CERT 2018-10-10 Tavis Ormandy 通过公开邮件列表，再次指出 ghostscript 的安全沙箱可以被绕过，通过构造恶意的图片内容，可造成任意文件读写。 libssh CVE-2018-10993预警 漏洞 360CERT 2018-10-16 libssh版本0.6及更高版本在服务端代码中具有身份验证绕过漏洞，攻击者可以在没有任何凭据的情况下成功进行身份验证。 进而可以进行一些恶意操作。 华擎驱动程序存在多处提权漏洞 漏洞 360CERT 2018-10-26 通过利用这些漏洞，本地攻击者可以提升本地权限、内核任意代码执行，该漏洞由IOCTL的权限检查不足导致。
