关注！数据安全新动态（2024年6月·下篇）

点击蓝字丨关注我们

申请加入数据安全共同体计划，请在本公众号回复“申请表”获取下载链接

前文回顾

国内外数据安全相关事件

3.1.国外数据安全相关事件

3.1.1.美国铁路客运巨头Amtrak泄漏旅客数据

近日，美国国家客运铁路公司（Amtrak）披露了一起数据泄露事件，Amtrak的用户账户信息遭到第三方未经授权的访问，旅客的会员奖励账户的个人信息被大量窃取。此次泄漏的信息包含大量个人数据，包括姓名、联系方式、Amtrak 会员奖励账户号码、出生日期、支付详情（如部分信用卡号码和有效期）、礼品卡信息（如卡号和PIN码）以及用户的交易和旅行信息。

来源：

https://www.jdsupra.com/legalnews/amtrak-confirms-data-breach-affecting-4720920/

3.1.2.美国第二大公立学校系统泄露上百万条学生数据

据Hackread消息，名为“撒旦云”（The Satanic Cloud）的黑客组织近日泄露了美国第二大公立学校系统洛杉矶联合学区（LAUSD）数百万学生及教职工的个人信息数据。数据涉及2416万名学生及近5.5万条教职工信息，Hackread对数据去重分析后，提炼出195万条有效记录。包括学生姓名、邮编、生日、身份证号码、电话号码、电子邮件地址、家庭住址、学校名称、是否有移民身份等，教职工信息还涉及供职状况、就业经历、职位等信息。

来源：

https://hackread.com/lausd-data-breach-hackers-leak-data-student-locations/

3.1.3.《纽约时报》270GB敏感数据泄露

据BleepingComputer消息，属于《纽约时报》的内部源代码和其他数据于6月6日被一匿名用户泄露至 4chan论坛，文档大小为270GB，具体包括大约5000个存储库，总共360万个文件，且大部分源代码存储库未加密。

来源：

https://www.bleepingcomputer.com/news/security/new-york-times-source-code-stolen-using-exposed-github-token/

3.1.4.Ticketmaster 5.6亿客户数据泄露

近日，在黑客论坛 BreachForums 上，黑客组织 ShinyHunters以 50 万美元的价格出售5.6亿Ticketmaster 客户的个人和财务信息。Ticketmaster是全球最大的票务销售平台之一，此次泄露数据的大小为1.3TB，包括其客户的姓名、家庭住址、电子邮件地址和电话号码、门票销售信息、订单和活动信息、信用卡信息（如散列信用卡号最后四位数字、信用卡的验证类型以及到期日期），其中金融交易时间跨度为2012年至2024年。

来源：

https://www.npr.org/2024/06/01/nx-s1-4988602/ticketmaster-cyber-attack-million-customers

3.2.1.流媒体公司Roku超过15000个账户信息泄露

移动互联网安全热点

4.1.国内移动互联网安全热点

4.1.1.工信部关于侵害用户权益行为的APP（SDK）通报

工业和信息化部高度重视用户权益保护工作，依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，持续整治APP侵害用户权益的违规行为。近期，工信部组织第三方检测机构进行抽查，共发现22款APP及SDK存在侵害用户权益行为。

来源：

https://www.miit.gov.cn/xwdt/gxdt/sjdt/art/2024/art_c3866f938a0f4bf997c30a8bdafb992c.html

4.1.2.国家计算机病毒应急处理中心监测发现15款违规移动应用

国家计算机病毒应急处理中心依据《网络安全法》《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规及相关国家标准要求，近期通过互联网监测发现15款移动App存在隐私不合规行为。

来源：

https://www.cverc.org.cn/zxdt/report20240613.htm

4.1.3.因隐私合规检测不通过，vivo已下架两千余款APP

近日，为响应国家法律法规号召、切实保障用户权益与个人信息安全，vivo平台依法对APP进行隐私合规风险检测。针对整改不到位的APP，vivo平台已进行通报并要求限期整改。截至目前，有2540款APP未按要求完成整改，vivo平台将对上述隐私不合规APP进行下架处理。

来源：

https://mp.weixin.qq.com/s/l17fLGqNbxEpz3MS0-VDfg?scene=25#wechat_redirect

4.2.国外移动互联网安全热点

4.2.1.头部旅游类App乱象：未经允许收集数据，索取手机权限

无论是Booking、Airbnb、希尔顿还是丽笙，这些市场上Top级别的酒店或旅行类相关应用程序都会不同程度地尝试在未询问的情况下获取用户敏感权限及数据。这些应用都会获知用户的位置信息，但是包括Booking在内大约一半的应用并不会告知用户它们正在收集这一数据，某些应用还会简单地读取用户短信、访问摄像头和麦克风、读取设备中的其他文件，甚至代表用户拨打电话。

来源：

https://cybernews.com/privacy/top-travel-apps-privacy/

4.2.2.Rafel RAT恶意软件可能影响39亿台旧安卓手机

威胁攻击者正在大量部署一种名为“Rafel RAT”的开源恶意软件，攻击“过时”安卓设备。研究人员表示，共检测到超过120个使用Rafel RAT恶意软件的网络攻击活动。据悉，Rafel RAT恶意软件的攻击目标主要是政府和军事部门，大多数受害者位于美国、中国和印度尼西亚。其中一些攻击活动是由 APT-C-35（DoNot Team）等知名勒索软件组织发起，伊朗和巴基斯坦疑似为恶意活动的源头。

来源：

https://www.bleepingcomputer.com/news/security/ratel-rat-targets-outdated-android-phones-in-ransomware-attacks/

4.2.3.IntelBroker黑客入侵苹果公司，窃取多个工具源代码

近日，黑客IntelBroker声称入侵了苹果公司，窃取了内部工具的源代码，该组织曾多次入侵一些大公司和政府组织。6月份，IntelBroker非法访问苹果公司的网络系统，盗取了AppleConnect-SSO、AppleMacroPlugin、Apple-HWE-Confluence-Advanced等工具的源代码。苹果方面指出，此次网络攻击事件不会对苹果公司的客户信息造成任何影响。

来源：

https://hackread.com/intelbroker-hacker-apple-data-breach-source-code/

4.2.4.Pixel设备曝出零日漏洞

近日，科技巨头谷歌发布了安全更新，成功解决其Pixel设备中存在的50个安全漏洞。值得注意的是，谷歌方面着重提到了一个被追踪为 CVE-2024-32896 的安全漏洞，并指出威胁攻击者可以利用该漏洞非法提升权限，目前安全人员已经发现其在野外被利用的证据。

来源：

https://www.freebuf.com/news/403559.html

4.2.5.Telegram上泄露的3.61亿条记录被挂在暗网上了

近日，Have I Been Pwned 上突然添加了3.61亿个电子邮件地址，允许任何人核查自身账户是否被盗。安全研究员从许多Telegram网络犯罪频道收集了这些凭证信息，被盗数据以用户名和密码的组合、用户名和密码以及与之相关的URL和原始cookies的形式泄露。

来源：

https://www.bleepingcomputer.com/news/security/361-million-stolen-accounts-leaked-on-telegram-added-to-hibp/

重点工作

数据安全共同体计划