政府舉措
工信部：2021年初步建立網絡數據安全標準體系
關鍵詞：網絡數據安全標準
近年來，我國數據洩露事件頻繁發生，過度收集、濫用用戶個人信息問題大量存在，非法數據共享與交易帶來的安全挑戰愈加嚴峻。
上週，工業與信息化部稱有關單位編制完成《網絡數據安全標準體系建設指南》，通過頂層設計，制定政府引導和市場驅動相結合的網絡數據安全標準體系建設方案，為行業網絡數據安全管理提供有力支撐。
工信部表示，網絡數據資源與傳統資源不同，其具有流動特性，需要切實加強網絡數據全生命週期的各個環節的安全保護，針對各應用領域和業務場景下的不同特點，形成閉環安全管理模式，有效保護用戶合法權益，切實維護國家重要數據安全。（來源：人民網）
兩部門牽頭建立跨部委打擊危害公民個人信息和數據安全違法犯罪長效機制
關鍵詞：個人信息和數據安全
為持續保持對侵犯公民個人信息違法犯罪的高壓嚴打態勢，從源頭上治理公民個人信息被洩露、隱私被侵犯的安全隱患，促進、提高行政機關、企事業單位對公民個人信息和數據安全的保護能力，形成源頭治理、綜合治理、系統治理的工作格局，近日，經中央領導批准，公安部與中央網信辦牽頭，建立打擊危害公民個人信息和數據安全違法犯罪長效機制。機制成員單位包括公安部、中央網信辦、最高人民法院、最高人民檢察院、工業和信息化部、國家市場監督管理總局等。
據瞭解，2016年以來，公安部部署全國公安機關開展打擊整治網絡侵犯公民個人信息犯罪專項行動、打擊整治黑客攻擊破壞犯罪和網絡侵犯公民個人信息犯罪專項行動、“淨網2018”“淨網2019”“淨網2020”專項行動，持續重拳打擊整治侵犯公民個人信息違法犯罪活動，偵破侵犯公民個人信息案件1.7萬餘起，抓獲各行業內部人員3000餘名，發現並通報一大批涉及金融、教育、電信、交通、物流等重點行業信息系統及安全監管漏洞，打掉了一批非法採集、販賣公民個人信息的公司。（來源：人民公安報）
打擊網絡犯罪又一里程碑！荷蘭警方一週內關閉15項DDoS租用服務
關鍵詞：DDoS租用
近日據外媒報道，荷蘭警方表示他們在一週內成功取締了15家DDoS租用服務提供商，這是他們打擊在線DDoS服務供應商最成功的行動之一。DDoS租用網站，也稱為DDoS引導程序或DDoS壓力源，允許用戶註冊併發起針對網站和其他Internet基礎結構的DDoS攻擊。
據悉，此次行動是在歐洲刑警組織、國際刑警組織、聯邦調查局、網絡託管供應商和域名註冊商共同支持下進行的，這是過去六個月中荷蘭警方第二次對DDoS出租服務進行的打擊。但是，荷蘭當局沒有發佈這15種DDoS服務的名稱。
荷蘭警方在發佈的新聞稿中表示，根據統計荷蘭中部的網絡犯罪團隊使用了創新的方法來檢測此類助推器。因此警方通過採取預防措施讓DDos系統和黑客域名下線等方式，儘可能地保護人們免受DDoS攻擊。（來源：E安全）
網絡安全事件
警方抓獲百度網盤“破解版”Pandownload 開發者
關鍵詞：Pandowmloda
根據揚州網警巡查執法 官方微博通報（原微博已刪除），寶應網安破獲一起黑客攻擊計算機系統案件。
今年2月，受害人劉某報案稱其下載的“Pandownload”軟件會在未授權的情況下，將自己百度網盤的數據共享出去，導致隱私照片和文件洩露。
經過梳理，警方發現該軟件可以以非會員權限突破百度網盤官方設定，實現高速下載，系侵入、非法控制計算機信息系統的程序、工具，並且該軟件的使用者達到數萬人，致使北京百度網訊科技有限公司(“百度公司”)損失高達上千萬元。
4月初，在掌握了充分證據後，寶應網安遠赴廣東，抓捕犯罪嫌疑人蔡某萌，當場查獲電腦、手機等作案工具。（來源：IT之家）
微軟開發了一種AI系統，識別關鍵安全漏洞準確率高達97%
關鍵詞：識別關鍵安全漏洞
微軟聲稱已經開發出一種系統，在測試中區分安全漏洞和非安全漏洞準確率達99%，並且識別出關鍵的、高優先級的安全漏洞準確高達97%。在接下來的幾個月裡，微軟計劃在GitHub上開源這個方法，以及一些示例模型和其他資源。
據介紹，該系統是微軟47000 名開發人員進行的1300萬個工作項目和bug的數據集進行訓練的，這些工作項目和bug數據存儲在AzureDevOps和GitHub的存儲庫中。
Coralogix估計開發人員每寫1000行代碼就會產生70個錯誤，修復一個錯誤比編寫一行代碼要多花費30倍的時間;在美國，每年花費1130億美元用於識別和修復產品缺陷。
首先，該模型可對安全和非安全bug進行分類，接著對bug的嚴重程度分等級標註為關鍵、重要或低影響。
微軟表示，該模型已部署到內部生產環境中，並將繼續使用安全專家批准的數據進行再培訓。（來源：venturebeat）
Google刪除49個Chrome擴展程序，極力遏制東歐國家網絡金融威脅
關鍵詞：網絡金融威脅
近日，外媒報道MyCrypto平臺的安全總監Harry Denley透露Google已經從網上應用商店刪除了49個Chrome擴展程序，原因是這些擴展程序偽裝成合法的加密貨幣錢包應用並攜帶惡意軟件代碼，在竊取用戶的加密錢包私鑰、助記短語和其他原始密碼。據悉，研究人員表示這49個擴展程序似乎是來自同一個人或組織的，而且極大可能來自某東歐國家支持的攻擊組織，但目前沒有確鑿證據。
根據調查MyCrypto安全研究人員表示，Chrome擴展程序模仿了Ledger，Trezor，Jaxx，Electrum，MyEtherWallet，MetaMask，Exodus和KeepKey等加密貨幣錢包應用程序，但實際上它們是在竊取用戶的私鑰和助記詞。而且惡意擴展的工作方式幾乎與真正的擴展程序幾乎相同，受害者在配置步驟中輸入的任何數據都會被髮送到攻擊者的服務器或谷歌表單，但是不會立即發生資金從用戶帳戶盜竊的情況。（來源：E安全）
古老黑客軟件重新活動攻擊全球VPN服務器
關鍵詞：黑客軟件攻擊
上週，據報道，由於全球冠狀病毒大流行，VPN連接用戶數量急劇增加。Sangfor中的問題與自動更新機制有關。客戶端每次啟動時，都會向服務器查詢更新。客戶端從位於VPN服務器上固定區域中的設置文件接收這些更新。它們以可執行文件SangforUD.exe的形式進入用戶計算機。客戶端程序不檢查文件的安全性或真實性，僅檢查軟件版本。如果攻擊者設法入侵服務器並替換更新文件，則連接到該服務器的所有客戶端都將受到威脅：他們將安裝後門。據報道稱，相關公司並未透露黑客入侵服務器的細節，只是指出它們攻擊了那些使用過時軟件的服務器。
SEC Consult Services的信息安全專家Mikhail Zaitsev說：“在冠狀病毒大流行的背景下，網絡犯罪和網絡間諜活動並沒有減少，反而比以往任何時候都更加激增。” 這是自然的：大流行是網絡間諜活動的有效“煙幕”。此外，網絡防禦總是比網絡攻擊需要更多的精力和更多的資源。（來源：360天樞智庫）
蘋果回應隱私質疑：疫情過濾工具不會收集個人信息
關鍵詞：隱私質疑
據外媒報道，幾位美國民主黨參議員之前曾經致函蘋果CEO蒂姆·庫克，詢問了與該公司的新冠疫情過濾工具相關的隱私問題。蘋果在近期作出回應。
上週五的回信中蘋果表示，這些工具“目的是保護隱私和用戶數據的安全。”還回答了與數據共享、與政府機構的協議以及工具可用性有關的問題。信中提到的過濾工具是今年3月發佈的，目的是幫助用戶判斷他們是否應當自我隔離，或者尋求醫療幫助。並非蘋果與谷歌最新宣佈的接觸追蹤技術合作。
蘋果表示，應美國衛生與公眾服務部的要求，這些工具以應用和網站的形式提供，遵守HIPAA法案的指導原則，不會收集任何個人數據。他們絕不會將信息出售給第三方，也不會出於商業目的使用這些信息。他們收集的唯一數據是跟工具使用頻率和崩潰狀況有關的信息。（來源：新浪科技）
數據統計
報告稱網絡釣魚套件的平均價格上漲了149%
關鍵詞：網絡釣魚
從事網絡安全研究的Group-IB表示，該公司通過分析彙總已知的網絡犯罪市場和黑客論壇上發佈的交易數據，2019年網絡犯罪黑市上出售的網絡釣魚套件的平均價格從2018年的122美元飆升至304美元。
儘管網絡釣魚工具包的賣家數量（增長了120%）和網絡釣魚工具包廣告的數量（2019年增長了一倍）雙雙增加，但由於“供需兩旺”，釣魚工具包的價格繼續快速上揚。
在Group-IB在2019年識別和跟蹤的16200個釣魚套件中，偽造亞馬遜、谷歌、Instagram、Office 365和PayPal的登錄頁面的手段最為常見。
亞馬遜和PayPal是已知的最常用的網絡釣魚行動的目標，因為訪問這兩個賬戶可以讓黑客直接利用受害者的資金進行欺詐性交易。
訪問谷歌和Office 365賬戶往往會導致企業網絡遭到破壞，這也解釋了為什麼大多數網絡釣魚工具包都支持針對這兩項服務的攻擊。
如今，網絡犯罪生態系統中的很大一部分是由基於電子郵件的攻擊所驅動的。雖然大多數電子郵件攻擊主要集中在傳遞受惡意軟件感染的文件或引誘用戶到可以下載惡意軟件的網站上，但這些攻擊中也有很大一部分是網絡釣魚。（來源：cnBeta）
漏洞速遞
網絡安全漏洞暴露了Clearview AI的源代碼和應用程序數據
關鍵詞：Clearview AI
備受爭議的面部識別創業公司Clearview AI的安全漏洞意味著其源代碼，一些秘密密鑰和雲存儲憑據，甚至其應用程序的副本都可以公開訪問。 TechCrunch報道說，網絡安全公司SpiderSilk的首席安全官Mossab Hussein發現了Clearview AI一個暴露的服務器，他發現該服務器被配置為允許任何人註冊為新用戶並登錄。
《紐約時報》的一次曝光詳細介紹了其龐大的面部識別數據庫，其中包括從網站和社交媒體平臺上抓取的數十億張圖像。用戶上傳感興趣的人的照片，Clearview AI的軟件將嘗試將其與數據庫中任何相似的圖像進行匹配，從而有可能從單個圖像中揭示一個人的身份。
據TechCrunch稱，該服務器包含公司面部識別數據庫的源代碼，以及允許訪問其Windows，Mac，Android和iOS應用程序副本雲存儲的密鑰和憑據。Mossab Hussein因此能夠截取該公司iOS應用程序的屏幕截圖，蘋果公司最近因為違反其規則而阻止了該應用程序。Mossab Hussein還表示，他可以訪問該公司的Slack令牌，這可能允許訪問該公司的內部私人通訊。（來源：cnBeta）
微軟安全更新解決113個漏洞，其中有三個野外Windows漏洞
關鍵詞：微軟安全更新
上週二據外媒報道，微軟針對2020年4月發佈的更新補丁解決了113個漏洞，包括3個野外的Windows漏洞，其中17個漏洞被評為嚴重，其餘的被評為重要，這些漏洞在針對任意代碼執行和權限升級攻擊中被利用。
據悉，此次解決的漏洞影響了Windows，Edge，Internet Explorer，Office，Windows Defender，Dynamics，Android和Mac應用程序以及其他產品。同時，Microsoft還修復了Windows版OneDrive應用程序中一個公開披露的特權升級漏洞。根據總結，微軟在2020年1月至2020年4月之間解決的CVE數量比去年同期增加了44％。（來源：E安全）
