编者按
一是国家网信办发布《关于开展人脸识别技术应用备案工作的公告》；二是工信部印发《算力互联互通行动计划》；三是美商务部将人工智能安全研究所重组为人工智能标准与创新中心；四是美国防部长指示成立美国防部网络防御司令部；五是英国防长首次承认将加大对中俄网络攻击力度；六是日本参议院通过《人工智能相关技术研究开发及应用推进法》；七是印度以“国家安全”为由强制认证网络设备，海康威视、大华、小米等品牌受重创；八是澳大利亚实施强制勒索赎金报告制度。
一是关于防范PupkinStealer恶意软件的风险提示；二是开源论坛软件vBulletin存在满分漏洞；三是Google Chrome越界读写漏洞遭在野利用；四是美CISA警告Commvault的零日漏洞遭利用。
01 网安动向热讯
01
国家网信办发布《关于开展人脸识别技术应用备案工作的公告》
02
5月30日消息，工信部印发《算力互联互通行动计划》。《行动计划》明确，到2026年，建立较为完备的算力互联互通标准、标识和规则体系。设施互联方面，推广新型高性能传输协议，提升算力节点间网络互联互通水平；资源互用方面，建成国家、区域、行业算力互联互通平台，统一汇聚公共算力标识，实现全国头部算力企业的公共算力资源互联；业务互通方面，推动算、存、网多种业务互通，实现跨主体、跨架构、跨地域算力供需调度；应用场景方面，开展算力互联网试验网试点，赋能产业普惠用算。到2028年，基本实现全国公共算力标准化互联，逐步形成具备智能感知、实时发现、随时获取的算力互联网。（信息来源：工信部网站）
03
5月28日消息，公安部印发《公共安全视频图像信息系统监督管理工作规定》，规范公安机关对公共安全视频图像信息系统建设、使用的监督管理。《工作规定》明确，公安机关开展公共安全视频系统监督管理工作，应当遵循依法依规、分工负责、分类监管、便捷高效的原则。公安机关科技信息化部门统筹负责公共安全视频系统建设、使用的监督管理工作。公安机关依法对公共安全视频系统的建设、使用情况开展监督检查，包括建设安装主体是否符合《条例》规定；是否备案以及备案信息是否真实；视频图像信息的保存期限是否符合《条例》规定；是否采用完善的防攻击、防入侵、防病毒、防篡改、防泄露等安全技术措施。本规定自印发之日起施行。（信息来源：公安部网站）
04
5月30日消息，中国人民银行发布《中国人民银行业务领域网络安全事件报告管理办法》，自2025年8月1日起施行。《办法》将进一步规范涉及货币信贷、宏观审慎、跨境人民币、银行间市场、金融业综合统计、支付清算、人民币发行流通、经理国库、征信和信用评级、反洗钱等中国人民银行业务领域网络安全事件报告管理，指导督促金融从业机构依法依规报告中国人民银行业务领域网络安全事件。《办法》共五章三十三条：第一章明确《办法》制定依据、适用范围、向其他部门报告通报协作机制和社会监督机制。第二章对网络安全事件分级管理作出规定，明确特别重大、重大、较大、一般等级网络安全事件的分级标准底线规则。第三章对网络安全事件报告流程、内容、时效、途径等作出规定。第四章对中国人民银行或其分支机构监督和管理责任落实，以及金融从业机构违反规定行为的处罚作出规定。第五章对术语定义、解释权和施行日期作出规定。（信息来源：央视新闻）
05
5月30日，国家互联网信息办公室就《网信部门行政处罚裁量权基准适用规定（征求意见稿）》向社会公开征求意见。征求意见稿指出，网信部门行政处罚裁量权基准划分为不予处罚、减轻处罚、从轻处罚、一般处罚、从重处罚等裁量阶次。其中，有因同种违法行为一年内受到网信部门两次以上行政处罚的；教唆、胁迫、诱骗他人实施违法行为的；拒不配合、阻碍、以暴力威胁网信部门执法人员依法执行公务等情形的，应当从重处罚。意见反馈截止时间为2025年6月14日。（信息来源：新华网）
06
全国网安标委就《网络安全技术 计算机基本输入输出系统(BIOS)安全技术规范》等4项国家标准公开征求意见
5月30日消息，全国网络安全标准化技术委员会就《网络安全技术 计算机基本输入输出系统（BIOS）安全技术规范》《网络安全技术 互联网恶意软件定义与描述格式》《网络安全技术 信息安全管理体系审核指南》《网络安全技术 政务云安全配置基线要求》4项国家标准公开征求意见。标准相关材料已发布在网安标委网站，如有意见或建议请于2025年7月29日前反馈至全国网络安全标准化技术委员会秘书处。（信息来源：全国网安标委）
07
6月3日消息，美商务部宣布将原人工智能安全研究所重组为人工智能标准与创新中心（CAISI），以评估和加强美国对发展商业人工智能系统的创新，确保其不受审查制度和监管的限制，并推进相关测试与合作研究。具体行动包括：与美国国家标准与技术研究院合作，制定衡量与提升人工智能系统安全性的指南和最佳实践规范；开展对可能构成国家安全风险的人工智能的非机密评估，重点关注网络安全、生物安全和化学武器；评估国际人工智能系统能力和竞争状况；评估使用外国人工智能系统可能产生的安全漏洞和不利影响；防止外国政府对美国人工智能技术的监管。（信息来源：美商务部网站）
08
5月31日消息，根据美国会2025财年年度国防政策法案的要求及美国防部长皮特·赫格塞斯的最新指示，美联合部队总部—国防部信息网络已正式升级为美网络司令部下属的次级统一司令部，同时更名为“美国防部网络防御司令部”（DCDC）。DCDC发言人表示，此次升级和更名是对该司令部行使网络空间部队权力、指挥和控制能力的认可。此举旨在优先保障美国防部信息网络的安全、运行和防御，并使美军能够在最需要的时间和地点发动致命打击。美军正在对DCDC的任务有效性和作战准备能力进行评估，并制定实施计划。（信息来源：奇安网情局）
09
5月30日消息，英国国防大臣约翰·希利首次承认，英国将加大对中国、俄罗斯等国的进攻性网络攻击强度。希利表示，将在2027年前斥资10亿英镑开发并推出新的“数字瞄准网络”，并将组建新的“网络与电磁司令部”，加强英军网络战态势，实现网络和电磁行动与军事行动的紧密联动，使英国在网络作战领域处于领先地位。新设立的司令部将隶属于英国战略司令部，领导防御性网络行动，并与英国国家网络部队协调进攻性网络能力，还将利用武装部队在电磁战方面的所有专业知识，帮助其在快节奏的军事竞赛中夺取并保持主动权，包括削弱敌方指挥控制能力、干扰无人机或导弹信号以及拦截对手的通信，入侵敌方系统以扰乱行动或反击网上宣传等。（信息来源：安全内参）
10
5月28日，日本参议院通过《人工智能相关技术研究开发及应用推进法》，成为日本首部全面规范人工智能的法律框架。该法主要内容包括：成立人工智能战略司令部；制定人工智能基本计划；支持研发与基础设施建设；人才培养与教育推广；国际合作与指引制定；研究、监测与风险响应等。该法强调人工智能对日本经济增长和国家安全至关重要，提出如下基本原则：维持本国研发能力与国际竞争力；推动人工智能从基础研究到实际部署的全链条发展；保障透明度，防范数据泄露和知识产权侵犯；加强国际合作，使日本在全球规则制定中发挥作用，在创新与风险管理之间取得平衡。（信息来源：安全内参）
11
5月31日消息，印度政府出台新规，以“国家安全”为由，强制要求所有在印度销售的网络监控设备必须通过政府实验室强制认证，中国多个品牌或受重创。新规要求网络监控设备具备防篡改外壳、强大的恶意软件检测和加密功能；制造商需提交软件测试报告，甚至可能需要分享源代码以供审查；允许印度官员对海外工厂开展网络安全审计等。新规波及品牌包括中国海康威视、大华、小米，韩国韩华，美国摩托罗拉系统及印度CP Plus等。17家跨国企业与印度电子和信息技术部交涉时，表示无法满足认证要求并请求延期，但遭印度政府拒绝。中国外交部对此回应称，反对以国家安全为由打压中国企业，希望印度为中企提供非歧视性的营商环境。（信息来源：路透社）
12
6月3日消息，澳大利亚计划实施强制勒索赎金报告制度，要求企业主、关键基础设施实体员工或政府部门/机构人员在遭勒索软件攻击并支付赎金后须依法向澳当局报告。年营业额达300万澳元及以上的组织，须在支付赎金后72小时内向澳信号局（ASD）报告，逾期72小时未提交赎金报告的企业将面临罚款，关键基础设施相关组织同样适用此规定。赎金报告须包含企业及联系人信息、网络安全事件全部已知细节（事件发现时间、被利用漏洞、勒索软件变种或恶意软件类型、攻击责任方和支付金额）以及与攻击者的所有通信记录。若未支付赎金则无强制报告义务。ASD表示，强制勒索赎金报告制度已于2025年5月30日生效。（信息来源：CyberNews网）
02 数据前沿快讯
13
6月4日消息，国务院总理李强签署国务院令，公布《政务数据共享条例》，自2025年8月1日起施行。《条例》旨在推进政务数据安全有序高效共享利用，提升政府数字化治理能力和政务服务效能，全面建设数字政府。《条例》共8章44条，主要包括以下内容：一是明确总体要求。规定政务数据共享工作坚持中国共产党的领导，遵循统筹协调、标准统一、依法共享、合理使用、安全可控的原则。二是优化目录管理。规定政务数据实行统一目录管理，明确政务数据目录编制、发布以及动态更新等要求。三是细化共享使用要求。规定通过共享获取政务数据能够满足履职需要的，政府部门不得重复收集，明确牵头收集政务数据的政府部门的职责。四是加强平台支撑。规定整合构建全国一体化政务大数据体系，要求已建设的政务数据平台纳入全国一体化政务大数据体系，原则上不新建政务数据共享交换系统。五是强化保障措施。按照谁管理谁负责、谁使用谁负责的原则，明确各环节安全责任主体，强调需求部门在使用依法共享政务数据过程中的安全管理责任。（信息来源：新华网）
14
5月26日消息，国务院、中央军委公布《重要军工设施保护条例》，自2025年9月15日起施行。《条例》旨在保护重要军工设施的安全，保障重要军工设施的使用效能和军工科研、生产等活动的正常进行，加强国防现代化建设。《条例》共7章51条，主要规定包括：一是明确重要军工设施范围和各方责任。二是规范重要军工设施保护区划定。三是明确重要军工设施的保护措施。四是强化重要军工设施管理单位责任义务。五是加强各方面保障监督。《条例》明确，重要军工设施管理单位应当落实网络安全和数据安全保护责任，依照有关规定加强重要军工设施网络安全和数据安全管理及防护。（信息来源：新华社）
15
5月30日消息，国家数据局发布《数字中国发展报告（2024年）》，从发展基础、赋能效应、安全治理、国际合作四个方面系统总结2024年数字中国建设重要进展和工作成效，展望2025年数字中国发展的形势与前景。《报告》主要涵盖以下内容：一是数字中国发展基础进一步夯实。数字技术创新再上新台阶；数据要素市场拓展新空间；数字基础设施实现新跃升；全民数字素养达到新高度。二是数字中国赋能效应进一步强化。数字经济发展稳中提质；数字政务服务提质增效；数字文化建设深入推进；数字社会更加普惠便捷；数字生态文明更加绿色智慧。三是数字安全和治理进一步完善。成立全国数据标准化技术委员会，发布《国家数据标准体系建设指南》，启动41项标准研制。四是数字领域国际合作进一步深化。与21个国家签署了数字经济合作谅解备忘录，与多个区域性大国开展交流，“丝路电商”伙伴国增加到33个。展望2025，我国外部环境复杂严峻，数字中国发展面临的国际环境和国内条件都在发生深刻变化。（信息来源：国家数据局）
16
5月28日消息，工业和信息化部、国家发展改革委、国家数据局联合印发《电子信息制造业数字化转型实施方案》。《实施方案》明确提出，到2027年，规模以上电子信息制造业企业关键工序数控化率超过85%，典型场景解决方案全面覆盖，服务能力明显增强。到2030年，建立较为完备的电子信息制造业数据基础制度体系，形成一批标志性智能产品，数字服务和标准支撑转型环境基本完善，向全球价值链高端延伸取得新突破。《实施方案》强调，要加强统筹协调、加大资金保障、强化分析评价、加强宣传推广、加强行业数字化人才培养，为电子信息制造业数字化转型提供坚实保障。（信息来源：工信微报）
17
5月27日消息，国家航天局印发《国家民用卫星遥感数据国际合作管理暂行办法》。该办法适用于各部门、各地区及企事业单位开展卫星遥感数据国际合作活动管理。本办法中的国家民用卫星遥感数据是指全部或部分使用中央财政资金支持的民用卫星所获取的遥感数据；国外卫星遥感数据是指通过民用卫星遥感数据交换以及全部或部分使用中央财政资金采购所获取的国外卫星的遥感数据；卫星遥感数据国际合作是指在符合国家外交政策的原则下开展的卫星遥感数据交换、共享、服务等国际合作活动。卫星遥感数据国际合作不得用于军事用途、影响国家安全用途以及协定合同范围外的其他用途;未经国家航天局授权，国外合作用户不得向协定合同等文件约定外的第三方转让或用于商业用途。本管理办法自印发之日起施行。（信息来源：国家航天局）
03 网安事件聚焦
18
5月28日消息，网络安全公司Insikt Group披露，与俄罗斯有关联的黑客组织TAG-110，针对塔吉克斯坦发动一轮新型鱼叉式网络钓鱼攻击，攻击目标锁定为塔吉克斯坦政府、教育和科研机构，其目的是广泛获取有助于操控地区政治或安全局势的情报。该黑客组织在此次攻击中首次弃用了其标志性的HTA加载器HATVIBE，转而采用带有宏的Word模板文件作为初始攻击载荷，攻击者将钓鱼邮件中伪装的诱饵文件仿冒为塔吉克斯坦政府公文，一旦受害者启用宏，宏代码可能将模板文件植入Word启动目录，与远程命令与控制（C2）服务器通信，接收并执行来自C2的额外VBA代码。TAG-110是一个自2021年起活跃的APT组织，曾攻击中亚、东亚和欧洲政府机构及外国使馆。（信息来源：安全内参）
19
5月30日消息，IT管理软件巨头ConnectWise披露，疑遭国家级黑客攻击，其ScreenConnect远程工具部分云客户环境遭入侵。ConnectWise总部位于佛罗里达州，为托管服务商提供IT管理、远程监控及网络安全解决方案，ScreenConnect作为其核心产品可实现技术人员对客户系统的安全远程维护。目前，ConnectWise已实施网络强化措施并部署增强监控系统，称客户环境未发现后续异常活动，但拒绝透露具体受影响客户数量、攻击者及入侵时间。（信息来源：BleepingComputer网）
20
6月3日消息，美国非营利医疗集团Covenant Health遭网络攻击，其旗下医院、诊所全面断网，目前尚不确定是否涉及数据泄露。其中，圣玛丽医院公告称，当前系统临时故障影响部分电话及病历系统，医疗服务仍在继续，但部分科室候诊时间可能延长。新罕布什尔州圣约瑟夫医院通知，5月27日门诊实验室服务临时调整，仅主院区可接收持纸质检验单的患者。缅因州两家医疗机构同样遭波及，院方建议患者按原计划就诊。Covenant Health表示，发现网络异常后，立即切断了所有医疗机构的数据系统访问权限，并已聘请网络安全专家介入调查，全力保障正常医疗服务。截至目前，尚无勒索组织宣称对此次事件负责。（信息来源：HackerNews网）
21
5月30日消息，研究人员发现巴西医疗巨头Unimed因暴露Kafka实例导致大量医患对话泄露，包含患者姓名、电话号码、邮箱及上传的图片、文档等敏感信息。研究人员成功拦截逾14万条聊天记录，而实例日志显示至少1400万条信息曾以不安全方式传输。攻击者可能利用这些数据实施身份盗用、医保诈骗、金融欺诈、钓鱼攻击甚至歧视及针对性仇恨犯罪。研究人员建议严格限制Kafka实例访问权限，仅允许授权消费者与生产者连接，启用IP白名单机制，激活平台内置的认证授权功能以阻止攻击。（信息来源：CyberNews网）
22
5月28日消息，美紧急医疗护理机构WellNow Urgent Care同意支付440万美元以和解一宗涉及数据泄露的集体诉讼案。2023年4月25日前后，勒索软件组织窃取了该医疗机构60万患者敏感信息（姓名、出生日期、社会安全号码、州身份证或驾照信息、健康与保险信息、银行账户信息以及生物识别数据）并进行加密。此次数据泄露事件还波及了WellNow Urgent Care的母公司ADMI Corp.以及其旗下多家公司。（信息来源：安全内参）
23
5月30日消息，数据分析巨头LexisNexis发布声明，其风险管理子公司LexisNexis Risk Solutions（LNRS）发生数据泄露事件，存储在GitHub开发平台的软件制品及个人信息被非法获取，包括客户姓名、出生日期、联系方式、社会安全号码及驾照号等，涉及约36.4万人。LNRS作为美国顶级数据经纪商之一，主要为商业客户提供风控服务。LNRS表示，安全团队已展开调查，确认其核心系统及产品未受影响，无证据表明数据遭进一步滥用，将为受影响人员提供两年身份保护服务。目前尚无黑客组织宣称对此事负责。（信息来源：HackerNews网）
24
6月3日消息，美国MainStreet银行披露，因其合作供应商遭网络攻击，导致约5%客户敏感信息泄露。该银行在获知供应商系统被入侵后，立即终止了全部合作并展开调查，目前已确认银行自身系统未遭入侵，未发生异常交易，客户账户资金安全，但未回应具体受影响人数及泄露信息类型。MainStreet总部位于弗吉尼亚州，在华盛顿设有55000台ATM机及分支机构。该银行已通知监管机构及客户，并为受影响客户建立可疑活动监测系统。（信息来源：HackerNews网）
25
6月3日消息，奢侈品牌卡地亚向客户发送通知称，其系统遭入侵后发生数据泄露事件，导致客户个人信息外泄，包括客户姓名、出生日期、电子邮箱地址及居住国家。卡地亚表示，客户信用卡号及银行账户、密码等信息未遭泄露，目前事态已得到控制，并已强化系统及数据安全防护措施。安全专家表示，泄露信息可能被用于定向攻击，建议客户对未经请求的可疑通信保持警惕。（信息来源：安全威胁纵横）
04 网安风险警示
26
5月29日消息，工业和信息化部网络安全威胁和漏洞信息共享平台监测发现信息窃取型恶意软件PupkinStealer持续活跃，该恶意软件可窃取浏览器凭据、即时通信会话及桌面文件等敏感信息，导致敏感信息泄露、账号劫持及网络横向渗透等连锁风险。PupkinStealer是一款基于.NET框架开发的信息窃取类恶意程序，具有特定的攻击目标和危害特性。该恶意软件利用即时通讯应用Bot API建立通信信道，规避流量检测。建议相关单位及用户立即排查，更新防病毒软件，防范网络攻击风险。（信息来源：工信部网站）
27
6月3日消息，研究人员发现开源论坛软件vBulletin存在两个严重漏洞CVE-2025-48827和CVE-2025-48828，CVSS评分分别为10.0和9.0。当vBulletin在PHP 8.1或更高版本上运行时，版本5.0.0至5.7.5和6.0.0至6.0.3受影响。攻击者可利用上述漏洞，在易受攻击的“replaceAdTemplate”中注入恶意模板代码，绕过不安全函数过滤器，在底层服务器上实现远程代码执行，从而获取敏感信息，篡改网站内容，甚至完全控制受影响系统。鉴于该漏洞影响范围较大，建议用户尽快更新。（信息来源：启明星辰）
28
6月3日消息，奇安信CERT监测到Google发布公告称Google Chrome越界读写漏洞CVE-2025-5419（CVSS评分8.8）遭在野利用。该漏洞源于V8引擎中的越界读写问题，攻击者通过恶意网页触发漏洞，可绕过沙箱防护实现远程代码执行，完全控制用户设备。Chrome是一款由Google公司开发的免费的、快速的互联网浏览器软件，为使用者提供稳定、安全、高效的网络浏览体验。鉴于该漏洞影响范围较大，建议用户尽快做好自查及防护。（信息来源：奇安信CERT）
29
5月31日消息，美网络安全与基础设施安全局（CISA）警告称，网络弹性解决方案提供商Commvault的零日漏洞CVE-2025-3928遭利用，远程攻击者可利用该漏洞创建和执行webshell，完全攻陷易受攻击的实例。CISA表示，攻击者可能已利用该漏洞访问了托管在Azure中的M365备份SaaS解决方案的客户端机密。CISA建议组织机构监控Entra审计日志，执行有条件的访问策略，更改Commvault Metallic应用机密和应用凭据。（信息来源：代码卫士）
本文来源：国家信息技术安全研究中心官方网站
本文编辑：林青
往期推荐
点赞在看转发是对我们最好的支持
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...