安全快報 | 澳大利亞新南威爾士州的交通受到網路攻擊

安全事件

4月29日-5月6日 一週網路安全事件彙總

01 印度將引入六小時資料洩露通知規則

簡要介紹

印度政府釋出了新指令，要求組織在六小時內向CERT-IN報告網路安全事件，即使這些事件是計算機系統的埠或漏洞掃描。這一要求是由印度的計算機應急響應小組(CERT-In) 提出的，該小組表示已確定了導致安全事件分析和響應困難的具體差距，為了解決這些問題，它需要採取更積極的措施。這些措施和其他各種規定4月28日的通知釋出，並被納入2000年資訊科技(IT)法案第70B條，因此它們是印度法律的一部分，將在60天內生效。美國的網路安全事件報告法的要求是，確信網路事件發生後的72小時內或勒索事件後支付贖金後24小時內報告，我國的關基安全保護條例未有細化的具體時間要求。印度此舉要求6小時報告，專家認為存在落實實施的困難。

相關連結

https://portswigger.net/daily-swig/india-to-introduce-six-hour-data-breach-notification-rule

02 Mozilla 發現心理健康應用在使用者安全、資料政策方面“嚴重”失敗

簡要介紹

Mozilla 更新了其不包括隱私的買家指南，以揭示各種心理健康應用程式的使用者隱私保護非常差。在檢查的 32 個應用程式中，有 27 個應用程式被貼上了“不包括隱私”的警告標籤。帶有此標籤的應用程式未能滿足Mozilla 的最低安全標準，例如允許使用弱密碼和管理不善的漏洞。如果這些應用程式收集使用者資料，該指南還會通知您。遭到 Mozilla 反對的應用程式包括 BetterHelp、MindDoc，甚至一些與基督教相關的應用程式，例如 Pray.com。單擊條目可為您提供有關 Mozilla 發現該應用程式錯誤的詳細資訊。例如，在BetterHelp 的個人資料中，您會看到Mozilla 在該服務中發現的所有問題，包括帶有大量缺失資訊的簡短隱私政策。該應用程式還收集了大量使用者資料(姓名、年齡、電話號碼、問卷回覆)，他們可以與廣告商和集團內的其他公司分享這些資料。並非所有配置檔案都相同，因為每個應用程式都有自己的問題。例如， Mindshift CBT不出售使用者資料，但加密功能較弱，使所述資料易受攻擊。但是它們都共享相同的三個評論部分;隱私、安全和人工智慧。

相關連結

https://www.zdnet.com/article/mozilla-finds-mental-health-apps-fail-spectacularly-at-user-data-security/?&web_view=true

03 研究人員在國防工業基地漏洞賞金工作中發現了 400 多個漏洞

簡要介紹

美國防部一項旨在清除承包商數字漏洞的試點專案在一年內發現了數百個漏洞。在國防部網路犯罪中心和國防反情報與安全域性協調的國防工業基地漏洞披露計劃中，駭客團隊的網路安全研究人員在數十家公司發現了約400個問題。漏洞披露專案臨時主管梅麗莎·維西在一份宣告中說，“該專案早就認識到利用眾包道德駭客為國防部資訊網路增加深度防禦保護的好處”。維西還說，該試點專案旨在確定中小型已清算和未清算國防工業基礎公司是否存在類似的關鍵高危漏洞，國防工業基礎公司對關鍵基礎設施和美國供應鏈具有潛在風險。一些承包商參與了該試點專案，但沒有被披露漏洞情況。該試點專案於2021年4月啟動，14家公司參與，共檢查了141項可公開獲取的資產。人們對該專案興致勃勃；近350項資產最終透過檢查。結果於5月2日公佈。

相關連結

https://therecord.media/researchers-find-over-400-vulnerabilities-in-defense-industrial-base-bug-bounty-effort/?web_view=true

04 駭客從Rari Capital的Fuse池中竊取了8000萬美元

簡要介紹

DeFi 平臺 Rari Capital 在其 Fuse 貸款池中持有的超過 8000 萬美元的加密資產遭到駭客攻擊。根據智慧合約審計公司 BlockSec 的說法，不知名的駭客從 Rari Capital 的 Fuse 平臺竊取了資訊，該平臺使 DeFi 開發人員能夠建立自己的借貸市場。該安全公司表示，該漏洞是透過協議智慧合約中的可重入漏洞發生的。

在這些損失資金的人中，有一個開發團隊Fei Protocol， 該開發團隊執行著一個名為 Fei USD 的去中心化的與美元掛鉤的穩定幣。Fei 協議團隊管理 Fuse 上的借貸市場，使用者可以在其中存入資金以獲得年收益，也可以使用 FEI 穩定幣進行借貸。在 Twitter 帖子中，Fei Protocol承認了這一大規模漏洞，並要求駭客返還資金以換取 1000 萬美元的賞金。

相關連結

https://news.bitcoin.com/attackers-steal-80-million-from-rari-capitals-fuse-platform-fei-protocol-suffers-from-exploit/?web_view=true

05 網路攻擊致使汽車租賃巨頭全球系統中斷，業務陷入混亂

簡要介紹

國際大型汽車租賃公司Sixt在全球110多個國家/地區擁有2000多個業務點。由於突然來襲的網路攻擊，致使其業務發生臨時中斷。Sixt公司表示，他們4月29日（週五）在IT系統上檢測到可疑活動，並很快確認自己遭受到網路攻擊。這家總部位於德國的公司宣稱，事件“在早期得到控制”，而且已經在外部專家的協助下開展調查。“根據公司的標準防範措施，我們立即限制了對IT系統的訪問，同時啟動了預先規劃好的恢復流程。”但IT系統被限制訪問，導致了Sixt公司的客戶、代理和業務點發生業務中斷。只有對業務連續性至關重要的系統仍保持執行，比如主網站和應用程式等。公司稱，此次攻擊對公司運營與服務的影響已經被降至最低。

相關連結

https://www.techzine.eu/news/security/78131/car-rental-giant-sixt-shut-down-following-cyberattack/?web_view=true

06 新南威爾士州的交通受到網路攻擊

簡要介紹

新南威爾士州交通局已確認其授權檢查計劃 (AIS) 線上申請受到 4 月初網路事件的影響。AIS 授權檢查員檢查車輛，以確保達到最低安全標準。要成為授權審查員，需要提交線上申請，並要求申請人分享個人詳細資訊，包括他們的全名、地址、電話號碼、電子郵件地址、出生日期和駕駛執照號碼。據新南威爾士州交通局稱，該事件導致未經授權的第三方成功訪問了“少數”應用程式的使用者帳戶。

“我們認識到資料隱私至關重要，並對客戶可能受到此次攻擊的影響深感遺憾，”新南威爾士州交通局表示。“詐騙者可能會試圖利用這些事件。客戶不應回覆任何聲稱來自新南威爾士州交通局的與任何安全問題有關的未經請求的電話、電子郵件或簡訊。” 新南威爾士州交通局表示，它正在逐個通知受影響的考官，並將提供幫助他們避免事件進一步影響的選項。

此外，還採取了安全措施，新南威爾士州交通局保證並強調對應用程式的監控繼續進行。

相關連結

https://www.zdnet.com/article/transport-for-nsw-struck-by-cyber-attack/?&web_view=true

07 美國證券交易委員會的加密和網路執法部門的規模幾乎翻了一番

簡要介紹

美國證券交易委員會 (SEC) 宣佈將擴大針對加密資產和網路相關威脅的執法部門的規模。該部門以前稱為網路部門，將更名為加密資產和網路部門，並將繼續駐留在執法部門。它還將增加 20 名團隊成員，使該部門的總人數達到 50 人。這些額外的角色將包括欺詐分析師、主管、調查人員律師和審判律師，預計將專注於調查與加密資產產品、交易所、借貸和質押產品以及去中心化金融平臺、不可替代代幣相關的違規行為和穩定幣。

“美國擁有最大的資本市場，因為投資者對它們充滿信心，隨著越來越多的投資者進入加密市場，投入更多資源來保護它們變得越來越重要，”SEC 主席 Gary Gensler 說。“執法部門的加密資產和網路部門已成功對那些試圖利用加密市場投資者的人提起了數十起訴訟。透過將這一關鍵部門的規模擴大近一倍，美國證券交易委員會將有能力更好地監管加密領域的不法行為市場，同時繼續識別與網路安全有關的披露和控制問題。”

相關連結

https://www.zdnet.com/article/sec-nearly-doubles-size-of-crypto-and-cyber-enforcement-unit/?&web_view=true

08 美國網路司令部去年加強了九個國家的防禦

簡要介紹

美國網路司令部總司令保羅中曾根將軍透露，他領導的機構去年進行了九次“追捕”行動，將團隊派往不同的國家地區，以幫助他們改善防禦安全態勢並尋找網路威脅。國家安全域性局長曾在範德比爾特大學舉行的現代衝突和新興威脅峰會上說。“它為這些威脅接種了疫苗，並與一個向我們尋求幫助的國家建立了夥伴關係。”

這樣的任務對雙方政府來說都是雙贏的。外國受益於美國的網路安全工具和威脅情報，美國網路司令部可以在這些國家的網路上安裝感測器，這使軍方能夠更好地瞭解美國境外的威脅。

Nakasone 說，該機構的第一次追捕演習於 2018 年向烏克蘭派遣了一個網路司令部團隊，其目標是“瞭解我們的對手在做什麼，能夠捕捉到並分享它，”

相關連結

https://www.theregister.com/2022/05/04/us_cyber_hunt_forward/