关注！数据安全新动态（2023年2月）

国内外数据安全相关事件

1.1.国内数据安全相关事件

1.1.1.疑似45亿条个人信息泄露

2月12日晚，Telegram各大频道突然大面积转发某隐私查询机器人链接。网传消息称该机器人泄露了国内45亿条个人信息，数据包大小达435GB，疑似电商或快递物流行业数据。

用户仅需输入手机号，即可通过该机器人查询到姓名、手机号和详细的收货地址等隐私信息。

来源：

https://tech.huanqiu.com/article/4Bot0piRoNa

1.2.国外数据安全相关事件

1.2.1.亚洲两大数据中心发生数据泄露，阿里、华为、苹果、微软全部受影响

据彭博社2月21日报道，亚洲最大的两家数据中心遭遇黑客组织入侵，并悄悄潜伏其中近2年时间。在如此漫长的时间里，两大数据中心没有任何发现，而黑客却早已掌握了大量企业的亚洲数据中心登录凭证。

影响范围包括阿里巴巴、腾讯、华为、苹果、微软、亚马逊、沃尔玛、高盛、宝马等国际巨头在内的2000多家企业。

来源：

https://www.bloomberg.com/news/features/2023-02-21/hackers-scored-corporate-giants-logins-for-asian-data-centers

1.2.2.美国国防部服务器没密码，3TB敏感数据泄露

2月18日，安全研究人员Anurag Sen发现美国国防部一台存储了3TB内部军事电子邮件的服务器在线暴露长达两周，暴露数据包含过去几年的大量内部军事电子邮件，其中一些包含敏感的人员信息。

该服务器托管在微软的Azure政府云上，供美国国防部客户使用，与其他商业客户物理隔离，可用于共享敏感的政府数据。其中许多数据与美国特种作战司令部（USSOCOM）有关，USSOCOM是美国负责执行特殊军事行动的军事单位。令人惊讶的是，暴露的服务器由于配置错误没有密码，任何人都可通过互联网访问。

来源：

https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/

1.2.3.印度火车票务平台RailYatri发生数据泄露，超3100万人受影响

印度流行的火车票预订平台RailYatri遭遇大规模数据泄露，暴露了超过 3100 万名用户/旅客的个人信息。

据信，该漏洞发生在 2022 年 12 月下旬，敏感信息数据库现已在线泄露。泄露的数据包括电子邮件地址、全名、性别、电话号码和位置，这可能使数百万用户面临身份盗用、网络钓鱼攻击和其他网络犯罪的风险。

来源：

https://www.hackread.com/indian-ticketing-platform-railyatri-hacked/

1.2.4.印度又曝出新冠疫情患者数据泄露

2月21日，印度再次曝光一起COVID-19患者数据泄露事件，由印度卡纳塔克邦维护的arogya.karnataka.gov.in数据库已被泄露。兜售的黑客声称，该数据库内包含个人ID、姓名、地址、电话号码、电子邮箱及密码等信息。

来源：

https://thecyberexpress.com/covid-19-patient-data-breach/

1.2.5.欧洲汽车经销商巨头遭勒索攻击，客户个人数据全部泄露

2月3日，英国汽车零售商Arnold Clark日前通知客户，其个人信息可能因网络攻击而失窃。调查显示，恶意黑客可能已经窃取到客户个人数据，包括姓名、联系方式、出生日期、车辆信息、护照/驾照、国民保险号和银行账户等详细信息。

来源：

https://www.securityweek.com/uk-car-retailer-arnold-clark-hit-by-ransomware/

1.2.6.百事可乐遭遇恶意软件攻击发生数据泄露

据BleepingComputer2月13日报道，百事可乐装瓶风险投资有限责任公司遭受网络攻击导致数据泄露，攻击者在百事可乐瓶装风险投资公司的网络中安装信息窃取恶意软件并从其IT系统中提取数据。

受影响用户的以下个人信息遭到泄露：全名、家庭住址、财务帐户信息（包括密码、PIN和访问号码）、州和联邦政府颁发的身份证号码和驾驶执照号码、身份证、社会安全号码（SSN）、护照信息、数字签名、与福利和就业有关的信息（健康保险索赔和病史）。目前尚不清楚有多少人受到数据泄露的影响，以及受影响的各方是否包括百事可乐的客户或员工。

来源：

https://www.bleepingcomputer.com/news/security/pepsi-bottling-ventures-suffers-data-breach-after-malware-attack/

1.2.7.加利福尼亚医疗机构遭遇数据泄露，330万患者受到影响

Bleeping Computer网站披露，加利福尼亚州Heritage Provider Network（全美最大的综合医疗服务网络之一）中多个医疗机构遭遇勒索软件攻击，大量患者敏感信息泄露。

2月初，受影响医疗机构集体发布一份安全通知，透露此次攻击事件约 330 万名患者敏感数据暴露。

来源：

https://www.bleepingcomputer.com/news/security/california-medical-group-data-breach-impacts-33-million-patients/

2移动互联网安全热点

2.1.国内移动互联网安全热点

2.1.1.工信部通报侵害用户权益App

2月8日，工信部信息通信管理局通报2023年第一批侵害用户权益行为App及第三方软件开发工具包（SDK）进行检查，发现46款App（SDK）存在侵害用户权益行为，要求相关App（SDK）应当在2月15日前限期完成整改落实工作。

来源：

https://www.miit.gov.cn/jgsj/xgj/fwjd/art/2023/art_c3ab2f3fef674a91892a2da2da452fff.html

2.1.2.中国网络空间安全协会、国家计算机网络应急技术处理协调中心发布《“网上购物类”App个人信息收集情况测试报告》

近期，中国网络空间安全协会、国家计算机网络应急技术处理协调中心对“网上购物类”公众大量使用的部分App收集个人信息情况进行了测试，本次测试选取了19家应用商店累计下载量排名前10位的“网上购物类”App，《“网上购物类”App个人信息收集情况测试报告》由国家网信办公开发布。

来源：

https://www.cybersac.cn/News/getNewsDetail/id/2146/type/62

2.1.3.安徽通信管局通报侵害用户权益App

安徽省通信管理局对区域内App个人信息收集使用情况进行检查，发现26款App存在违法违规收集使用个人信息问题，下发责令整改通知书，要求违规App限期内完成整改工作。

来源：

https://ahca.miit.gov.cn/xxgk/tzgg/art/2023/art_6f96fdd6163c411aaa61d875e13e07a7.html

2.1.4.浙江省通信管理局通报侵害用户权益App

浙江省通信管理局组织第三方检测机构对27款App进行检测，其中有22款App存在“违规收集个人信息”“超范围收集个人信息”“违规使用个人信息”“强制用户使用定向推送功能”等问题，2月7日，浙江省通信管理局对尚未完成整改的10款App进行通报，要求相关App在2月13日前完成整改落实工作。

2.1.5.内蒙古通信管理局通报侵害用户权益App

内蒙古通信管理局组织第三方检测机构对部分属地活跃移动APP进行侵害用户权益安全检测，2月14日，内蒙古通信管理局对19款APP尚未完成整改的App进行通报，要求相关App在2月24日前限期完成整改落实工作。

来源：

https://nmca.miit.gov.cn/zwgk/tzgg/art/2023/art_426ca8ca2a5e4fe5aed964dc43a04b03.html

3.2.国外移动互联网安全热点

3.2.1.因未成年人个人信息保护风险，意大利禁止美国AI聊天机器人处理本国用户个人信息

意大利数据保护监管机构Garante禁止美国人工智能聊天机器人制造商Replika处理意大利用户个人数据，认为该应用未遵守透明度原则并且缺乏个人信息处理的合法性基础，可能对未成年人造成风险，Garante要求该软件在20天内执行命令，否则将给予最高2000万欧元或全球年营业额4%的罚款。

来源：

https://iapp.org/news/a/garante-bans-ai-chatbot-from-processing-italians-personal-data/

3.2.2.谷歌在安卓13设备上推出隐私沙盒测试版

谷歌2月14日宣布，正式向运行Android 13的移动设备推出Android隐私沙盒测试版。“隐私沙盒测试版提供了新的API，这些API的设计以隐私为核心，不使用可以在应用程序和网站上跟踪的识别码。”选择Beta版的应用程序可以使用这些API向你展示相关的广告，并衡量其有效性。预计Beta测试将从安卓13设备的 “小部分 ”开始，并将随着时间的推移逐步扩大。

来源：

https://www.freebuf.com/news/357783.html

3.2.3.苹果设备发现新漏洞，可以恶意访问用户数

苹果公司修订了它上个月发布的安全公告，更新了影响iOS、iPadOS和macOS的三个新漏洞。第一个漏洞可使恶意攻击者以root身份读取任意文件。iPhone制造商表示，它通过额外的验证来解决这个问题；另外两个漏洞可以武器化来实现代码执行。苹果公司表示：“应用程序可能能够在其沙箱之外执行任意代码或具有某些提升的权限”，并补充说道已经通过“改进的内存处理”修补了这些问题。

来源：数据安全共同体计划；版权归属原作者，分享仅供学习参考，如有不当，请联系我们处理。

END

BREAK AWAY

往期推荐