《網路安全審查辦法》釋出、本田謳歌汽車受漏洞影響、谷歌收購SOAR安全公司｜網路安全週報

2022年1月1日至1月7日共收錄全球網路安全熱點10項，主要集中在網路攻擊、漏洞修復方面,涉及Google、iOS、本田汽車等。

 

01 《“十四五”國家資訊化規劃》釋出，全面闡述資訊化安全需求

12月27日，中央網路安全和資訊化委員會印發《“十四五”國家資訊化規劃》(以下簡稱《規劃》)，對我國“十四五”時期資訊化發展作出部署安排。

《規劃》強調安全是資訊化建設的重要保障，將網路安全作為主攻方向之一，以“防範化解風險，確保更為安全發展”為主題，提出要全面加強網路安全保障體系和能力建設，加強網路安全資訊統籌機制建設，形成多方共建的網路安全防線，並對網路安全提出更具體的要求。

02 沃爾瑪違反網路安全法被處罰

近日，沃爾瑪（中國）投資有限公司（以下簡稱：沃爾瑪）近日再次新增行政處罰資訊。該公司因違反相關法規被公安部門警告。此前，因產品質量違法行為等，沃爾瑪被有關部門多次處罰。

公安機關於2021年11月25日在工作中發現沃爾瑪的網路系統，存在可利用的網路安全漏洞共十九項。其行為違反了《中華人民共和國網路安全法》，未及時處置系統漏洞的違法行為。處罰結果為決定給予警告的行政處罰，並責令改正。

03 網信辦聯合十三部門釋出《網路安全審查辦法》

1月4日，國家網信辦聯合十三部門聯合修訂釋出《網路安全審查辦法》（以下簡稱《辦法》），自2022年2月15日起施行。國家網際網路資訊辦公室有關負責人表示，網路安全審查是網路安全領域的重要法律制度，對於保障關鍵資訊基礎設施供應鏈安全，維護國家安全發揮了重要作用。

《辦法》將網路平臺運營者開展資料處理活動影響或者可能影響國家安全等情形納入網路安全審查，並明確掌握超過100萬使用者個人資訊的網路平臺運營者赴國外上市必須向網路安全審查辦公室申報網路安全審查。根據審查實際需要，增加證監會作為網路安全審查工作機制成員單位，同時完善了國家安全風險評估因素等內容。

04 谷歌以5億美元收購網路安全公司Siemplify

1月4日，據報導，谷歌將以約5億美元的價格收購以色列網路安全初創公司Siemplify，這是谷歌首次收購以色列安全公司。

谷歌將把Siemplify作為其在以色列的網路安全業務的基礎，是谷歌開展雲業務的一部分，Siemplify的聯合創始人將繼續留在公司，交易完成後，Siemplify將被併入谷歌雲平臺，原有員工也將加盟谷歌。

05 本田、謳歌汽車被Y2K22千年蟲漏洞擊中

2022年1月1日，本田、謳歌汽車導航系統的日期被自動修改到2002年1月1日，時間被重置到12點、2點和4點，具體與汽車所在的位置、時區、型號有關，且沒有辦法修改。根據使用者報告情況，此次bug影響所有的本田、謳歌汽車，包括Honda Pilot、Odyssey、CRV、Ridgeline、Odyssey和Acura MDX、RDX、CSX、TL型號。根據Honda客戶服務給出的回應，該bug將會在2022年8月自動修復。

06 Google Chrome更新修復37個安全漏洞

 

1月4日，谷歌釋出Chrome97，共有37個安全修復程式，其中24個是針對外部研究人員報告的漏洞。此次Chrome版本中修復的低嚴重性錯誤包括Service Workers中的策略繞過以及Web Share和密碼中的不當實現。

 

在外部報告的24個安全漏洞中，1個被評為嚴重級，10個為高嚴重性，10個為中等，3個為低階。最常見的漏洞型別是釋放後使用（七個錯誤）和不正確的實施（八個問題）。最嚴重的是CVE-2022-0096，這是儲存中的一個釋放後使用問題，可被用在瀏覽器中。

07 美國金融巨頭因資料洩漏支付6000萬美元

近日，美國金融巨頭摩根士丹利(Morgan Stanley)同意支付6000萬美元的和解金，以解決一起資料洩露訴訟。

據瞭解，此次資料洩露事件主要是因為，該公司此前淘汰的一批舊裝置（包括一些舊的伺服器以及一些其他資料技術），在使用者資料沒有被清理乾淨的情況下被出售，導致資料集可能已經以未加密的方式暴露出來，從而被購買方檢視。

和解檔案顯示，摩根士丹利否認有不當行為，並對其資料安全做法進行了“實質性”升級。

08 惡意軟體可以窺探iOS使用者攝像頭和麥克風

1月5日，據BLEEPINGCOMPUTER報導，研究人員開發了一種新技術，可以偽造iPhone關機或重啟，防止惡意軟體被刪除，允許駭客秘密監聽麥克風，並透過實時網路連線接收敏感資料，以此讓惡意軟體實現長久執行。

 

由於這種被研究人員稱為“NoReboot”的攻擊沒有利用iOS上的任何缺陷，而是依賴於人為欺騙，因此Apple無法對其進行修補。

09 多家知名企業近110萬個客戶賬戶遭駭客竊取

1月5日，紐約州總檢察長辦公室(NY OAG)警告17家知名公司，他們約有110萬客戶的使用者帳戶在撞庫攻擊中遭到入侵。攻擊者的最終目標是訪問儘可能多的帳戶，以竊取相關的個人和財務資訊，這些資訊可以在駭客論壇或暗網上出售。在監視多個線上社群後，發現了這些受感染的線上帳戶。

 

威脅行為者還可以在各種身份盜用詐騙中使用這些資訊，或進行未經授權的購買。Digital Shadows去年報導稱，目前有超過150億份憑證在網上共享或出售，其中大部分屬於消費者的個人資訊。

10 研究報告預測：駭客將對房地產網站發起供應鏈攻擊

1月4日，據Palo Alto Networks的Unit 42研究人員稱，攻擊者利用雲影片託管服務對蘇富比房地產公司運營的100多個房地產網站進行了供應鏈攻擊，其中涉及注入惡意Skimmer程式碼以竊取敏感的個人資訊。

Skimmer攻擊，也稱為表單劫持，不法分子將惡意JavaScript程式碼插入目標網站，它最常出現在購物和電子商務入口網站上的結賬或支付頁面，以獲取使用者輸入的信用卡密碼等有價值的資訊。

為了防止惡意程式碼注入線上站點，建議企業定期對 Web 內容進行完整性檢查。