周刊 | 网安大事回顾（2025.3.17-2025.3.23）

近日，国家安全机关成功侦破一起某科研单位工作人员私自拷贝、复制并向境外间谍情报机关出卖大量国家秘密的间谍案件。涉案人员刘某因犯间谍罪和非法提供国家秘密罪，被依法判处死刑，剥夺政治权利终身。

一周网安风云回顾，GoUpSec带你安全看世界。

根据2025年2月28日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2025年第4号），全国网络安全标准化技术委员会归口的2项国家标准正式发布。具体清单如下：

近日，国家标准化管理委员会下达的推荐性国家标准计划中，包括15项由全国网络安全标准化技术委员会归口的标准项目，请项目所属工作组制定项目推进计划，并督促项目牵头承担单位按计划抓紧落实，在计划执行中要加强协调，广泛征求意见，确保标准质量和水平，按要求完成国家标准制修订任务。

近日，国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》（，自2025年6月1日起施行。国家互联网信息办公室有关负责人表示，人脸识别技术应用与人脸信息安全紧密相关，受到社会各方高度关注。为了规范应用人脸识别技术处理人脸信息活动，保护个人信息权益，国家互联网信息办公室、公安部联合出台《办法》，对应用人脸识别技术处理人脸信息的基本要求和处理规则、人脸识别技术应用安全规范、监督管理职责等作出了规定。

Apache Tomcat漏洞CVE-2025-24813于POC公开后仅30小时即遭攻击利用，影响Tomcat多个版本。攻击者借此实现远程代码执行或信息泄露，前提是默认Servlet写入功能启用、支持部分PUT请求、使用默认路径的文件会话存储，且存在易受反序列化攻击的库。

近日，国家安全机关成功侦破一起某科研单位工作人员私自拷贝、复制并向境外间谍情报机关出卖大量国家秘密的间谍案件。涉案人员刘某因犯间谍罪和非法提供国家秘密罪，被依法判处死刑，剥夺政治权利终身。

3月21日上午，长城汽车旗下多个App发生服务中断，许多车主在尝试使用时遇到"503 Service Unavailable"错误，无法正常远程操控车辆。部分车主因未携带机械钥匙，完全依赖App解锁车门，结果被“拒之门外”，只能在车旁“罚站”等待问题解决。社交媒体和官方评论区涌入大量投诉，表达不满和担忧。

作为更大规模联合部队演习系列的一部分，美国网络司令部于3月12日至18日完成了年度“网络卫士”演习的第一阶段。此次演习旨在模拟真实场景，让参演人员演练全面部队整合的内部和外部参谋流程；模拟了美国网络司令部在危机期间支持影响多个地理责任区域的全球场景，有助于网络司令部认清自身优劣势；为参谋人员在作战司令部层级加速能力提供了机会，测试其在困境中就行动方案、兵力调动以及与机构和盟军伙伴分担负担做出决策的能力。

Wiz是一个云安全平台，帮助企业加强安全、开发和DevOps团队的协作，并提供自助式管理模式以监控云基础设施并识别潜在风险。该平台可全面可视化云环境，让用户实时检测漏洞、错误配置和合规性问题。Wiz可与现有工作流和工具无缝集成，支持自动化安全评估，并根据风险级别优先处理安全隐患，确保安全性不影响开发速度。此外，Wiz提供云使用模式和安全态势分析，帮助企业做出更明智的云战略决策。

VulnCheck宣布完成1200万美元A轮融资

投资方由Ten Eleven Ventures领投，Sorenson Capital和In-Q-Tel (IQT)跟投；VulnCheck是一个网络威胁情报平台，能够将漏洞和攻击情报直接集成到工具、流程、程序和系统中，帮助企业抢占先机，领先于攻击者。该平台利用漏洞情报精准预测可能的攻击路径，并基于威胁态势智能优先级排序关键漏洞，帮助企业迅速采取行动，在攻击发生前做好防御准备。

臭名昭著的勒索软件组织Babuk宣称，对全球领先的电信公司之一——Orange发动了一场重大网络攻击。这场攻击经过长时间精心策划，导致敏感数据被窃取。据Babuk称，被盗数据随后以1 万美元的价格卖给了第三方。

近年来，网络安全领域中复杂的恶意软件活动显著增多。“DollyWay”就是其中一项活动，这是一场持续已久的攻击行动，已经攻陷了全球超过2 万个WordPress网站。这项行动因其在维持对受感染网站的控制方面采用的先进技术，以及其复杂的恶意软件注入方法而备受关注。

一次复杂的供应链攻击已经危及全国100多家汽车经销店，无数访客面临恶意软件感染的风险。此次攻击利用了汽车经销商专门使用的共享视频服务，注入恶意代码，将毫无戒心的用户重定向到欺诈性网页，旨在在其系统上安装危险的 SectopRAT远程访问木马。最初的入侵并非发生在经销商自己的网站上，而是通过汽车行业常用的第三方视频服务发生。

一个名为“rose87168”的威胁行为者声称从 Oracle云服务器窃取了600万条记录。据报道，被盗数据包括Java密钥存储(JKS)文件、加密的单点登录(SSO)密码、散列轻量级目录访问协议 (LDAP)密码、密钥文件和企业管理器Java平台安全(JPS)密钥。据称，此次泄密事件影响了全球超过140,000名租户，并引发了人们对云安全的严重担忧。

美国最大精子库加州冷冻银行（California Cryobank）近日向客户发出警告称，其系统发生数据泄露事件，客户姓名、社保号、银行账户等敏感信息或遭窃取。可能对全球数十万通过人工生殖技术诞生的后代隐私造成长期威胁。