6月第5周業務風控關注 | 《網路安全等級保護條例（徵求意見稿）》本週正式釋出

易盾業務風控週報每週呈報值得關注的安全技術和事件，包括但不限於內容安全、移動安全、業務安全和網路安全，幫助企業提高警惕，規避這些似小實大、影響業務健康發展的安全風險。

1.《網路安全等級保護條例（徵求意見稿）》本週正式釋出

6月25日，網路安全標準論壇在京召開。由公安部牽頭，會同中央網信辦、國家保密局、國家密碼管理局聯合制定的《網路安全等級保護條例》（以下簡稱“條例”）擬將在本週釋出。公安部網路安全保衛局總工郭啟全在發言中表示，關鍵資訊基礎設施保護是網路安全等級保護制度2.0的重點。

2. Bithumb被盜或因駐外員工電腦被駭客攻擊

據報導，韓國大型虛擬貨幣交易所Bithumb在調查被駭客攻擊的原因時發現，其駐外員工的電腦被駭客攻擊。該員工將被駭客攻擊的電腦連線到Bithumb內部的DRM（數字版權管理）伺服器。導致駭客將惡性程式碼植入到駐外員工電腦後直接攻擊DRM伺服器。

3.中小企業將釣魚列為首要攻擊威脅

近日一份針對 600 名中小型（SMB）企業管理者的調查顯示，幾乎所有中小企業都對員工展開了安全意識培訓，因為他們擔心針對員工的釣魚攻擊會給企業帶來嚴重威脅。雖然所有的企業都在培訓員工提高網路安全意識，但來自Webroot SMB CybersecurityPreparedness的報告發現，其實只有39%的公司是在整個就業期間不斷對員工進行培訓的。

其中，美國、英國和澳大利亞最為重視企業網路安全，相應地，他們的預估違規成本也在下降。調查顯示，48% 的受訪者認為網路釣魚攻擊是最重要的威脅，45％的受訪者表示他們的業務易受 DNS 攻擊。總體來說，原本佔據第一的新型惡意軟體跌至第六位，落後於分散式拒絕服務（DDoS）和移動攻擊。勒索軟體從2017年的第五位上升到2018年的第三位，不過這也因地理位置而異。

4.拒不履行網路安全管理義務，宿豫一網路公司被罰10萬

2018年4月，宿豫公安分局接到上級公安機關通報，轄區一網際網路資料中心涉嫌存在違法違規內容。宿豫民警在調查核實時，該公司拒不配合調查。宿豫公安分局組織民警對該資料中心接入的網站、平臺域名、備案資訊等現場檢查，查處存在違法違規內容網站的伺服器46臺，關閉“殭屍網站”1008個，清理備案資料不準確、實名制落實不到位的網站百餘個，關停涉嫌網路賭博、私服等違法遊戲59款。6月23日，記者從宿豫警方獲悉，該網路有限公司被罰款10萬元，公司法人和技術主管分別被罰款2萬元。

5. 老人機自帶“李鬼”微信 竟是駭客為廠家定製

有些老人機自帶的微信軟體居然是沒有得到授權的“李鬼”版微信。近日江蘇常州檢方依法批准逮捕了一起“李鬼”微信案件的犯罪嫌疑人。

今年初，市民陳女士發現自己手機裡的“微信”隔三岔五冒出一些二手車和海外代購的小廣告。微信官方客服表示，他們接到全國不少使用者的類似反饋，經核實，這些廣告並非微信官方推送，也就是說，陳女士手機上的“微信”並非正版，軟體的加密網路傳輸協議被人破解。

6. 美國大資料公司失誤洩露2TB隱私資訊：涉2.3億人

據Wired報導，本月初曝光的市場和資料彙總公司Exactis伺服器資訊暴露的事情經調查為實。Exactis採集了大約3.4億條記錄，大小2TB，可能涵蓋2.3億人，幾乎是全美的上網人口。Exactis此次的資訊洩露並不是駭客撞庫引起或者其它惡意攻擊，而是他們自己的伺服器沒有防火牆加密，直接暴露在公共的資料庫查詢範圍內。目前，Exactis已經對資料進行了加密防護。

7. 2012年之後的所有Android裝置受到RAMpage漏洞影響

一群國際學者發表了一份研究報告《GuardION: Practical Mitigation of DMA-based Rowhammer Attacks on ARM》（PDF），披露一個Rowhammer攻擊變種RAMpage，該漏洞影響2012年之後釋出的幾乎所有 Android 裝置，也可能影響蘋果 iOS 裝置、PC 和虛擬機器。Rowhammer 攻擊是指利用臨近記憶體單元之間電子的互相影響，在足夠多的訪問次數後讓某個單元的值從 1 變成 0，反之亦然。這種現象被稱為位元翻轉（bitflipping），可被利用獲取更高的許可權，過去幾年研究人員報告了多種 Rowhammer 攻擊變種。最新的漏洞編號為CVE-2018-9442。研究人員稱，RAMpage破壞了使用者應用和作業系統之間最基礎的隔離。

8.ProtonMail 遭到 DDoS 攻擊

加密電郵服務ProtonMail過去幾天遭到了DDoS攻擊，因攻擊頻繁短時間下線。ProtonMail聲稱它跟蹤攻擊到一個據稱與俄羅斯有關聯的組織。現在，攻擊者現身否認他們是俄羅斯人，該駭客組織自稱叫Apophis Squad，他們正在開發一個 DDoS 攻擊服務，隨機選擇 ProtonMail 為目標來測試其服務的 Beta 版本。他們對 ProtonMail  發動了流量達到200 Gbps的SSDP洪水攻擊，第一次攻擊成功讓ProtonMail下線了 60 秒。攻擊者聲稱他們一開始並沒有打算透過攻擊持續干擾ProtonMail的服務，但ProtonMail CTO Bart Butler的言論惹惱了他們。Bart Butler在Twitter上稱這個組織是小丑。Apophis Squad隨後加大了攻擊流量，採用了更多DDoS攻擊方法，峰值流量達到500 Gbps。

9.中消協在京啟動APP資訊收集與隱私政策測評活動

近日，中消協宣佈在京啟動APP資訊收集與隱私政策測評活動，以幫助消費者瞭解各類APP消費者個人資訊收集以及隱私保護措施情況。

近年來，各類手機APP應用發展迅猛，極大地豐富和方便了消費者的網際網路生活。然而，一些APP軟體有的告知消費者資訊收集類別不明確，有的強制或變相強制收集消費者資訊，有的不當分享、轉讓甚至非法交易消費者個人資訊，使消費者個人資訊保安受到嚴重挑戰。

中消協提醒各類APP開發和應用的企業及相關人員，嚴格遵守有關消費者個人資訊保護的法律規定，確保APP開發和應用符合消費者個人資訊保護要求，為消費者提供更加安全、可靠、實用的APP應用軟體。

免費試用網易雲易盾安全服務。