关注！数据安全新动态（2024年7月·下篇）

点击蓝字丨关注我们

申请加入数据安全共同体计划，请在本公众号回复“申请表”获取下载链接

前文回顾

国内外数据安全相关事件

3.1.国内数据安全相关事件

3.1.1.香港中文大学被黑客入侵，泄露两万师生信息

据香港中文大学（CUHK）公告，其专业进修学院近日遭受黑客入侵，泄露数据涉及20870个Moodle账户，数据类型包括教师、学生、校友、访客的姓名、电子邮件地址和学号。虽然公告中表示敏感数据未在任何公开平台上泄露，但这些信息疑似有在暗网BreachForums上售卖。

来源：

https://www.scs.cuhk.edu.hk/tc/enews/pr20240613

3.2.国外数据安全相关事件

3.2.1.美国电信公司AT&T 发生大规模数据泄露，1.09亿用户通话和短信记录遭窃

美国电信公司（AT&T）称发生了大规模数据泄露事件，威胁者从该公司账户的在线数据库中窃取了约1.09亿用户（几乎是其所有移动用户）的通话记录。数据是在2024年4月14日至4月25日期间从Snowflake账户中窃取的。被盗数据包含2022年5月1日至10月31日以及2023年1月2日期间几乎所有AT&T移动客户端和移动虚拟网络运营商（MVNO）客户的通话和文本记录。

来源：

https://www.telecomstechnews.com/news/att-data-breach-affects-109-million-us-customers/

3.2.2. 100亿条密码汇编集合 RockYou2024 泄露，酿成史上最大密码泄露事件

近日，Cybernews 的研究人员发现一个包含 9948575739 个明文密码的名为rockyou2024.txt 的数据文档被泄露。该文档中包含了世界各地个人使用的真实密码。此文档的泄露，大大增加了凭证填充攻击的风险。根据推测，这可能是有史以来最大的密码汇编集合泄露事件。

来源：

https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/

3.2.3.哥伦比亚政府机构海量数据遭泄露，其数据库及访问权限于暗网出售

据报道，哥伦比亚政府机构的数据库正在暗网论坛上出售，出售内容包含用户数据以及对该数据库的访问权限。其中，泄露的用户数据包括用户ID、号码、电子邮件、PDF发票、用户文档等，泄露数据库的行数超过 1500000行，总计数据量大小为4655380条。

来源：

https://thecyberexpress.com/colombian-government-ministry-data-breach/

3.2.4.迪士尼泄露1TB敏感数据

据报道，迪士尼公司发生一起大规模数据泄露事件。黑客组织Nullbulge声称已从迪士尼内部Slack频道窃取了超过1TB的数据，包括完整的1万个频道数据转储，文件、消息、未发布的项目、原始图像和代码。该组织还声称窃取了大量登录凭据、内部API/网页链接，以及数千条迪士尼员工通信记录。

来源：

https://variety.com/2024/film/news/disney-hack-data-breach-1236072729/

3.2.1.流媒体公司Roku超过15000个账户信息泄露

移动互联网安全热点

4.1.国内移动互联网安全热点

4.1.1.关于侵害用户权益行为的APP（SDK）通报

工业和信息化部高度重视用户权益保护工作，依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，持续整治APP侵害用户权益的违规行为。近期，工信部组织第三方检测机构进行抽查，共发现17款APP及SDK存在侵害用户权益行为，现依法予以通报。

来源：

https://www.miit.gov.cn/xwdt/gxdt/sjdt/art/2024/art_f9c4134ea5a6444db3f023ac0bf0aaff.html

4.1.2.使用AI技术破解人脸识别“摇头”、“眨眼”等认证步骤并篡改系统信息，涉案五人获刑

如今AI技术快速发展，一方面有人运用AI技术推动产业创新发展，另一方面却也有不法分子利用AI干起了违法的勾当。7月23日，一宗使用“AI换脸”技术破解平台认证非法获取计算机信息系统数据案在广州南沙宣判。法院指出，此类通过“AI换脸”方式非法突破人脸识别认证的行为，已成为近年来新型网络犯罪的发展方向，不仅侵害网络安全，也严重侵犯了个人信息安全。

来源：

https://news.dayoo.com/guangzhou/202407/24/139995_54691290.htm

4.1.3.江西省互联网信息办公室发布多款APP存在违法违规收集使用个人信息通报

依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律规定，江西省互联网信息办公室组织对部分群众关注度高、下载量大的App开展检测，发现24款App存在未公开收集使用规则、未明示收集使用个人信息的目的方式和范围、未经用户同意收集使用个人信息、违反必要原则收集等违法违规的问题，现依法予以通报。

来源：

https://mp.weixin.qq.com/s/Oab-XRVWKDascI46lza-Og?scene=25#wechat_redirect

4.2.国外移动互联网安全热点

4.2.1.苹果与安卓展开AI手机隐私保护大战

在隐私保护为重要卖点的AI手机市场，苹果的“隐私云计算”和安卓的“混合AI”展开了隐私保护军备竞赛。随着生成式AI技术逐渐融入手机核心功能，隐私问题变得愈加突出。苹果在6月10日的全球开发者大会上宣布推出“苹果智能”（Apple Intelligence），宣布与OpenAI合作将ChatGPT引入iPhone，标志着苹果在AI领域迈出了一大步，同时也引发了外界对苹果隐私保护的广泛关注。

来源：

https://www.wired.com/story/apple-intelligence-android-hybrid-ai-privacy

4.2.2.15亿苹果用户或面临短信钓鱼攻击风险

近日，Symantec公司向15亿苹果设备用户发出警示，提醒他们可能受到针对其Apple ID的网络攻击。研究人员发现，威胁行为者可以向用户发送欺骗性信息，诱使他们通过风险URL链接访问恶意网站；点击这些链接可能会危及他们的Apple ID和云账户。为了保护Apple ID信息，Symantec建议iPhone用户在从非苹果设备访问iCloud账户时使用双重身份验证。

来源：

https://www.cybersecurity-insiders.com/cyber-attack-to-impact-1-5-billion-apple-devices/

4.2.3.攻击者利用APK文件扰乱Android恶意软件分析

近期，研究人员发现一组被称为“BadPack”的恶意打包APK文件，这些文件能够严重干扰对Android应用程序中恶意软件的分析和检测。Palo Alto安全研究员Lee在7月16日报告了这一发现，这些BadPack文件的压缩文件格式中包含了恶意修改的头部信息，会对常用的Android逆向工程工具带来挑战。报告建议，Android用户需要警惕那些提出异常权限要求的Android应用，同时不要轻易在设备上安装来自第三方来源的应用程序。

来源：

https://www.darkreading.com/endpoint-security/malicious-badpack-apk-files-android-malware

4.2.4.针对Telegram安卓版的漏洞利用程序可远程操控设备

近日，网络安全公司ESET的研究人员发现了一个针对Telegram安卓版严重安全漏洞的漏洞利用程序EvilVideo。该漏洞利用程序允许攻击者通过Telegram频道、群组和私信传播伪装成普通视频文件的恶意负载。目前，ESET已向Telegram报告了这一情况，Telegram也已据此发布了一个修复补丁。ESET建议Telegram用户尽快更新到最新版本，并确保不下载或安装来源不可靠的应用程序。

来源：

https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android/

4.2.5.苹果迫于政府压力从俄罗斯应用商店下架VPN应用

据俄罗斯新闻媒体报道，应俄罗斯国家通信监管机构Roskomnadzor的要求，苹果公司于2024年7月4日从其AppStore中移除了俄罗斯的一些虚拟专用网络(VPN)应用程序。据报道，这包括25家VPN服务提供商的移动应用程序，包括ProtonVPN、RedShieldVPN、NordVPN和LeVPN。值得注意的是，NordVPN此前已于2019年3月关闭了其所有俄罗斯服务器。

来源：

https://www.bleepingcomputer.com/news/technology/russia-forces-apple-to-remove-dozens-of-vpn-apps-from-app-store/

往期回顾

数据安全共同体计划

（data security community）

“数据安全共同体计划”为了促进《数据安全法》《个人信息保护法》落地实施，推动数据开发利用和数据安全领域的技术推广和产业创新，致力于促进数据安全产业链各环节的交流与合作，推动数据安全政策、技术、人才多要素良性互动，构建数据安全产业生态共同体。

咨询电话：

曹京 (010) 5884 6840

解伯延 18631643906

联系人邮箱：[email protected]