行业动态 政策法规 国标 个人信息安全规范

根据2020年3月6日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2020年第1号），全国信息安全标准化技术委员会归口的GB/T 35273-2020《信息安全技术 个人信息安全规范》正式发布，并将于2020年10月1日实施。

https://mp.weixin.qq.com/s/A4jrnrKoZCQQJzaZhkQYxw

行业动态 政策法规 “互联网+行业”个人信息保护

3月2日，中国信通院发布了《“互联网+行业”个人信息保护研究报告》。报告重点针对“互联网+电子商务”、“互联网+医疗健康”、“互联网+智能家居”、“互联网+出行”四类人民群众广泛使用的“互联网+”服务，梳理分析不同类型服务收集、使用个人信息的范围和特点、面临的形势和挑战，结合国内个人信息保护法规和监管现状，提出了加强综合监管、提升企业能力、推进行业自律等个人信息保护建议。

https://mp.weixin.qq.com/s/XLFeFDicEOd5nMkWIryqEw

行业动态 政策法规 欧盟 5G

2020年1月29日，欧盟发布5G网络安全指引，这份名为《在欧盟确保5G的安全部署——实施欧盟工具箱》的指南旨在降低欧盟及其成员国在地区层面的网络安全风险，强调成员国应当评估5G网络基础设施供应商的风险，对高风险供应商实施相关限制，将它们排除在“关键、敏感”的核心网络功能之外。成员国还应制定战略，确保供应商的多样化，避免过度依赖单一设备供应商。

https://mp.weixin.qq.com/s/hXAb5XMYqGAiSP9mZb0BWg

行业动态 网路安全 中美局势

国防部新闻局局长、国防部新闻发言人吴谦2月28日在国防部例行记者会上说，在网络安全问题上，美方是国际公认的窃密惯犯。美国司法部近期对4名解放军人员提起诉讼，称他们涉嫌于2017年对美国信用报告机构发起黑客攻击。吴谦强调，美方捏造事实，编造谎言，对中方人员提起所谓诉讼，完全是别有用心的，是彻头彻尾的司法霸凌行为。中国军队已向美方提出严正交涉。

https://mp.weixin.qq.com/s/GJCjh_Q4xCPd4saV3aD3ug

报告调研 IDC 《全球安全设备季度跟踪报告》

据IDC近日发布的《全球安全设备季度跟踪报告》显示，2019年第四季度整个安全设备市场的单位出货量和收入同同实现了正增长。2019年第四季度全球收入同比增长9.4%，达到48亿美元。单位出货量也出现了类似的增长，同比猛增21.1%，达到了近130万台。传统防火墙这个细分市场为全球收入增长做出了最大的贡献。Web安全和消息传递安全这两个细分市场继续显示出强劲增长的迹象，分别同比增长6.8%和24.6%。

https://mp.weixin.qq.com/s/MGU82tLFJSLlN8HWudEJyQ

报告调研 2019年 移动威胁态势

根据RiskIQ的2019年移动威胁态势报告，在开放网络上扩散的恶意移动应用程序的数量已减少了20％。在对120多家移动应用商店进行的分析中，RiskIQ表示，全球移动APP数量增长18％的同时，对恶意应用的防御能力也已大大提高。该结论基于2019年被列入黑名单或经过过滤的应用程序的数量，以及业界针对这些应用程序所采取的多方面努力。

https://mp.weixin.qq.com/s/YSjKrZzvI4TfGcFaX4ZYvQ

安全研究 CPU漏洞（CVE-2019-0090）

据ZDnet报道，Positive Technology的安全研究人员发现，英特尔去年修补的一个CPU漏洞（CVE-2019-0090）比以前认为的要严重得多。这个芯片组只读存储器（ROM）中的错误使攻击者能够破坏平台加密密钥并窃取敏感信息。此外，该漏洞可能会破坏依赖于硬件密钥进行加密的常见数据保护技术，例如DRM、固件TPM和Intel Identity Protection。例如，攻击者可以利用自己计算机上的漏洞绕过内容DRM并进行非法复制。在ROM中，此漏洞还允许在Intel CSME的零特权级别执行任意代码。为了保护处理敏感业务的设备，研究人员建议禁用基于Intel CSME的数据存储设备加密，或者考虑更换到第十代或更高版本的Intel CPU。

https://mp.weixin.qq.com/s/2rRVobLWHRA2RQ2N_uRKjw

安全研究 SurfingAttack交互式隐蔽攻击

近日，安全研究人员成功展示了一个“黑科技”：利用超声波秘密激活并控制手机，拨打电话、拍照甚至收发短信，整个过程无需实际接触设备。美中大学联合团队将这种攻击称为SurfingAttack交互式隐蔽攻击，并表示黑客可以利用人类听不见的超声波远程控制语音助手，以及任何支持语音命令的设备和服务，例如智能手机和智能音箱。研究人员在苹果、谷歌、三星、摩托罗拉、小米和华为的17种不同型号的智能手机上测试了该方法，在其中15款产品上成功部署了SurfingAttack。值得注意的是，接受测试的产品中有两款对SurfingAttack攻击“免疫”，分别是华为的Mate 9和三星的Galaxy Note 10，安全研究团队认为，这是是因为这两款手机的制造商使用了特定的材料能够抑制超声波。

https://mp.weixin.qq.com/s/g8yVDhF6t-14FjIZPw6IMw

漏洞补丁 Chrome

3月4日谷歌发布了Chrome 80.0.3987.132版本更新，主要修复了4个安全漏洞。谷歌会分阶段进行推送，因此可能需要等待数天或者几周时间才能让所有人使用升级，如果你等不及可以通过参考来源中的链接直接下载安装补丁。

https://mp.weixin.qq.com/s/CKsfYfuXNeKn1P-92551pQ

漏洞补丁 Linux系统 pppd远程代码执行

3月6日，360CERT监测发现，国外安全研究员Ilja Van Sprundel(IOActive)发现 PPPD 程序中存在一枚缓冲区溢出漏洞。该漏洞CVSS评分9.8，影响软件版本跨度长达17年。攻击者可以通过特制的流量包，远程攻击开放PPPD服务的服务器。因为PPPD通常以root(unix最高权限)运行，攻击成功可完全取得服务器控制权限。目前pppd官方与部分Linux系统已针对受支持的产品发布了修复该漏洞的安全补丁，请受影响的用户尽快安装进行防护。

https://mp.weixin.qq.com/s/Ya1iAn1yOabiq4_ITkds4g

黑客攻击 美国中央情报局APT攻击

360安全大脑捕获了美国中央情报局CIA攻击组织（APT-C-39）对我国进行的长达十一年的网络攻击渗透。在此期间，我国航空航天、科研机构、石油行业、大型互联网公司以及政府机构等多个单位均遭到不同程度的攻击。360安全大脑通过关联相关情报，还定位到负责从事研发和制作相关网络武器的CIA前雇员，更进一步地将360安全大脑发现的这一APT组织的攻击来源，锁定为美国中央情报局。

https://mp.weixin.qq.com/s/xORflojiynAKkQLBQgx6oQ

勒索攻击 EMCOR Group

《财富》500强公司——从事工程和工业建筑服务的EMCOR Group近日披露了发生在2月份的勒索软件攻击事件，该事件导致其部分IT系统瘫痪，已确定所感染的勒索软件属于Ryuk家族。目前攻击的详细信息和后果尚未公开，但EMCOR表示，并非所有系统都受到影响，只有“某些IT系统”受到影响，因此该公司迅速关闭以控制感染。该公司表示正在恢复服务，但未具体说明是否支付了赎金要求或是否正在从备份中恢复。

https://mp.weixin.qq.com/s/aUjsNnh2Du5A7Eo6RrBVug

勒索攻击 美国 国防承包商CPI

位于加州的CPI为雷达、导弹导引头和电子战技术提供配件，其客户包括了美国国防部及其研发机构DARPA。事故发生在一月中旬，一位具有域管理权限的用户点击了恶意链接，触发了勒索软件对文件进行加密，包括现场备份。该公司之后向攻击者支付了约50万美元赎金，恢复了部分包含敏感军事数据。但到二月底只有四分之一的计算机恢复运行，许多计算机都重新安装了操作系统。

https://news.cnblogs.com/m/n/657082

数据泄露 T-Mobile

T-Mobile宣布了一项数据泄露事件，事件起因在于其电子邮件供应商遭到黑客入侵，导致从电子邮件中泄露了一些用户的个人和财务信息。T-Mobile在其网站上发布的“数据泄露通知”中指出，黑客入侵其电子邮件供应商，未经授权地访问了T-Mobile员工的电子邮件账户。电子邮件账户包含T-Mobile用户信息，例如社会保险号、财务信息、政府ID号、账单信息和费率计划。

https://mp.weixin.qq.com/s/cNvGTcyM8WI1OUvuKAf0fw

数据泄露 英国 免费Wi-Fi

Security Discovery的一名研究人员发现，与英国多个火车站的免费Wi-Fi热点连接的用户数据已存储在非密码保护的数据库中。该数据库包含1.46亿条记录，其中包括电子邮件地址，年龄范围，旅行原因，设备数据和其他日志。运营数据库的C3UK在报告的同一天限制了对数据库的公共访问。

https://mp.weixin.qq.com/s/1jNxNNHpqpJgkAps9F6eYw

数据泄露 美国轨道运营商Railworks公司

北美领先的铁路轨道和运输系统供应商之一RailWorks Corporation披露了一起勒索软件攻击事件，导致现任和前任雇员、受益人和家属以及独立承包商的个人身份信息暴露。根据RailWorks向加州总检察长办公室提交的三份数据泄露通知，攻击者可能已经获得了PII的访问权限，包括姓名、地址、驾驶执照号码、政府颁发的ID、社会保险号码、出生日期以及雇佣/终止和/或退休日期。

https://mp.weixin.qq.com/s/PmMKL6cQt4XKLHqs1AEgQA