安全热点周报（2024.1.8-2024.1.14）

财政部印发《关于加强数据资产管理的指导意见》

原文链接：

https://mp.weixin.qq.com/s/fTe-CYzBPwWoj8AJoLKu6Q

乌克兰黑客对俄罗斯电信运营商实施数据擦除攻击

1月10日Bleeping Computer消息，亲乌克兰黑客组织“Blackjack”声称，成功攻击了俄罗斯电信运营商M9com，使其网络瘫痪、数据失窃，以直接回应此前俄罗斯攻击乌克兰移动运营商Kyivstar。乌克兰国家通讯社Ukrinform引述“乌克兰执法机构消息人士”的说法称，Blackjack团队“可能与乌克兰国家安全局有关”，他们在攻击期间删除了对方约20TB的数据。

美国证交会推特账号被黑并发布虚假市场消息

1月9日CyberScoop消息，美国证券交易委员会（SEC）推特账号@SECgov 当天下午约4点发布了一则虚假的市场消息，称批准比特币ETF上市交易。大约15分钟后，SEC主席Gary Gensler在个人推特账号上声称，@SECgov 推特账号已被盗用，发布了未经授权的消息。SEC发言人随后在一份声明中表示，在美国东部时间下午4点后不久，不明身份人士在短时间内对SEC的推特账号@SECGov进行了未经授权的访问和活动。目前黑客的访问“已被终止”。这则假消息发布后，比特币的价值暂时飙升至近48,000美元，然后又回落至45,500美元。  

GitLab密码重置漏洞安全风险通告

1月12日，奇安信CERT监测到GitLab密码重置漏洞(CVE-2023-7028)，未经身份验证的远程攻击者可利用该漏洞将用户帐户密码重置电子邮件发送至任意邮箱。LDAP用户不会受到影响，因为没有忘记/重置密码选项。此外，启用了双因素身份验证的用户很容易受到密码重置的影响，但帐户不会被接管，因为需要第二个身份验证因素才能登录。鉴于该产品用量较大，建议客户尽快做好自查及防护。