6月第5周业务风控关注 | 《网络安全等级保护条例（征求意见稿）》本周正式发布

易盾业务风控周报每周呈报值得关注的安全技术和事件，包括但不限于内容安全、移动安全、业务安全和网络安全，帮助企业提高警惕，规避这些似小实大、影响业务健康发展的安全风险。

1.《网络安全等级保护条例（征求意见稿）》本周正式发布

6月25日，网络安全标准论坛在京召开。由公安部牵头，会同中央网信办、国家保密局、国家密码管理局联合制定的《网络安全等级保护条例》（以下简称“条例”）拟将在本周发布。公安部网络安全保卫局总工郭启全在发言中表示，关键信息基础设施保护是网络安全等级保护制度2.0的重点。

2. Bithumb被盗或因驻外员工电脑被黑客攻击

据报道，韩国大型虚拟货币交易所Bithumb在调查被黑客攻击的原因时发现，其驻外员工的电脑被黑客攻击。该员工将被黑客攻击的电脑连接到Bithumb内部的DRM（数字版权管理）服务器。导致黑客将恶性代码植入到驻外员工电脑后直接攻击DRM服务器。

3.中小企业将钓鱼列为首要攻击威胁

近日一份针对600名中小型（SMB）企业管理者的调查显示，几乎所有中小企业都对员工展开了安全意识培训，因为他们担心针对员工的钓鱼攻击会给企业带来严重威胁。虽然所有的企业都在培训员工提高网络安全意识，但来自WebrootSMB CybersecurityPreparedness的报告发现，其实只有39%的公司是在整个就业期间不断对员工进行培训的。

其中，美国、英国和澳大利亚最为重视企业网络安全，相应地，他们的预估违规成本也在下降。调查显示，48%的受访者认为网络钓鱼攻击是最重要的威胁，45％的受访者表示他们的业务易受 DNS攻击。总体来说，原本占据第一的新型恶意软件跌至第六位，落后于分布式拒绝服务（DDoS）和移动攻击。勒索软件从2017年的第五位上升到2018年的第三位，不过这也因地理位置而异。

4.拒不履行网络安全管理义务，宿豫一网络公司被罚10万

2018年4月，宿豫公安分局接到上级公安机关通报，辖区一互联网数据中心涉嫌存在违法违规内容。宿豫民警在调查核实时，该公司拒不配合调查。宿豫公安分局组织民警对该数据中心接入的网站、平台域名、备案信息等现场检查，查处存在违法违规内容网站的服务器46台，关闭“僵尸网站”1008个，清理备案资料不准确、实名制落实不到位的网站百余个，关停涉嫌网络赌博、私服等违法游戏59款。6月23日，记者从宿豫警方获悉，该网络有限公司被罚款10万元，公司法人和技术主管分别被罚款2万元。

5. 老人机自带“李鬼”微信 竟是黑客为厂家定制

有些老人机自带的微信软件居然是没有得到授权的“李鬼”版微信。近日江苏常州检方依法批准逮捕了一起“李鬼”微信案件的犯罪嫌疑人。

今年初，市民陈女士发现自己手机里的“微信”隔三岔五冒出一些二手车和海外代购的小广告。微信官方客服表示，他们接到全国不少用户的类似反馈，经核实，这些广告并非微信官方推送，也就是说，陈女士手机上的“微信”并非正版，软件的加密网络传输协议被人破解。

6. 美国大数据公司失误泄露2TB隐私信息：涉2.3亿人

据Wired报道，本月初曝光的市场和数据汇总公司Exactis服务器信息暴露的事情经调查为实。Exactis采集了大约3.4亿条记录，大小2TB，可能涵盖2.3亿人，几乎是全美的上网人口。Exactis此次的信息泄露并不是黑客撞库引起或者其它恶意攻击，而是他们自己的服务器没有防火墙加密，直接暴露在公共的数据库查找范围内。目前，Exactis已经对数据进行了加密防护。

7. 2012年之后的所有Android设备受到RAMpage漏洞影响

一群国际学者发表了一份研究报告《GuardION:Practical Mitigation of DMA-based Rowhammer Attacks onARM》（PDF），披露一个Rowhammer攻击变种RAMpage，该漏洞影响2012年之后发布的几乎所有 Android设备，也可能影响苹果 iOS 设备、PC 和虚拟机。Rowhammer攻击是指利用临近内存单元之间电子的互相影响，在足够多的访问次数后让某个单元的值从 1 变成0，反之亦然。这种现象被称为比特翻转（bitflipping），可被利用获取更高的权限，过去几年研究人员报告了多种 Rowhammer攻击变种。最新的漏洞编号为CVE-2018-9442。研究人员称，RAMpage破坏了用户应用和操作系统之间最基础的隔离。

8.ProtonMail 遭到 DDoS 攻击

加密电邮服务ProtonMail过去几天遭到了DDoS攻击，因攻击频繁短时间下线。ProtonMail声称它跟踪攻击到一个据称与俄罗斯有关联的组织。现在，攻击者现身否认他们是俄罗斯人，该黑客组织自称叫Apophis Squad，他们正在开发一个 DDoS 攻击服务，随机选择 ProtonMail 为目标来测试其服务的 Beta 版本。他们对 ProtonMail  发动了流量达到200 Gbps的SSDP洪水攻击，第一次攻击成功让ProtonMail下线了 60 秒。攻击者声称他们一开始并没有打算通过攻击持续干扰ProtonMail的服务，但ProtonMail CTO Bart Butler的言论惹恼了他们。Bart Butler在Twitter上称这个组织是小丑。Apophis Squad随后加大了攻击流量，采用了更多DDoS攻击方法，峰值流量达到500 Gbps。

9.中消协在京启动APP信息收集与隐私政策测评活动

近日，中消协宣布在京启动APP信息收集与隐私政策测评活动，以帮助消费者了解各类APP消费者个人信息收集以及隐私保护措施情况。

近年来，各类手机APP应用发展迅猛，极大地丰富和方便了消费者的互联网生活。然而，一些APP软件有的告知消费者信息收集类别不明确，有的强制或变相强制收集消费者信息，有的不当分享、转让甚至非法交易消费者个人信息，使消费者个人信息安全受到严重挑战。

中消协提醒各类APP开发和应用的企业及相关人员，严格遵守有关消费者个人信息保护的法律规定，确保APP开发和应用符合消费者个人信息保护要求，为消费者提供更加安全、可靠、实用的APP应用软件。

免费试用网易云易盾安全服务。