7月第3周业务风控关注 | CVERC发布预警 不要下载以下十款有害应用

易盾业务风控周报每周呈报值得关注的安全技术和事件，包括但不限于内容安全、移动安全、业务安全和网络安全，帮助企业提高警惕，规避这些似小实大、影响业务健康发展的安全风险。

1.CVERC发布预警：不要下载以下十款有害应用

国家计算机病毒应急处理中心近期通过互联网监测发现10款违法有害移动应用存在于移动应用发布平台中，提醒广大手机用户不要下载这些违法有害移动应用软件，避免手机操作系统受到不必要的安全威胁。这些违法有害移动应用软件主要危害涉及恶意传播和流氓行为两类，具体如下：

1、恶意广告插件：《Candy Crush Saga》、《雷霆战机》、《推箱子》；

2、危险行为代码：《快抢红包最新版》、《快抢红包最新版》、《自动抢红包最新版》、《给点电我就飞》、《经典桌球》、《打地鼠》、《模拟开火车》。

2.成千上万Mega网盘账户登陆信息遭泄露

据外媒 ZDNet 报道，新西兰在线云存储和文件托管服务公司Mega被发现其平台中有成千上万的帐号凭证信息已在网上被公开发布。被泄露的信息以文本文件形式提供，据了解这份文本文件包含超过 15,500 条用户名、密码和文件名的数据，这意味着这些帐号都曾出现异常登录的情况，并且帐号中的文件名也被爬取了。目前还不知道是谁创建的这份列表，也不知道这些数据是如何被爬取到的。虽然 Mega 提供端到端加密，但登录时没有使用双因素身份认证方式，因此攻击者只需使用登录凭据便可登录每个帐户，并抓取帐号中文件的文件名。

3.数据堂涉倒卖公民信息案：曾0.2元/条买病例

7月11日，数据堂发公告称，公司某一客户因出售公民个人信息被公安机关调查，个别相关人员牵连涉案接受调查。数据堂是一家数据市场服务提供商，主要业务涵盖数据采集、制作、交易等。数据堂称拥有超过2000TB的数据，涵盖金融、信用、医疗、交通等数十大领域的大规模数据，曾在8个月内日均传输公民个人信息1亿3千万余条，累计传输数据压缩后达4000GB左右。2018年5月9日、7月10日，该案两次开庭审理完毕，尚待宣判。

4.GDPR施行现状：只有20%的企业合规

近日，Dimensional调查组织的一项调研发现，在所有受访公司中，只有20%的企业完全符合GDPR标准，53%正处于实施阶段，27%尚未开始实施。调查显示，欧盟27%的企业为合规状态，相比之下，美国合规企业为12%，而英国为21%。预计2018年底将会有74%的企业达到合规标准，至2019年底这一数字将达到94%。在GDPR的实施方面，还需要进一步加强。

GDPR被称作通用数据保护规范，目标是保护欧盟公民免受隐私和数据泄露的影响，同时重塑欧盟的组织机构处理隐私和数据保护的方式。

5.江苏逮捕多名受雇发动电商网站 DDoS 攻击的黑客

近日，江苏省南通市公安局在深入开展打击整治网络违法犯罪“净网2018”专项行动中，破获一起由公安部督办的电商网站流量攻击系列案件，控制李某等12名涉案犯罪嫌疑人，查扣电脑、手机等作案工具36部。

客人把攻击网站的域名和攻击时间、要求、价格发到QQ群，犯罪嫌疑人通过QQ群接单，然后发动攻击。这些QQ群还免费提供各种作案所需的“黑客”软件及相关教程，以“收徒”为名传授作案方法，并以购买服务的方式作案，已经形成了一个完整的犯罪产业链条。

6.美国最大的血液检测实验室LabCorp被黑

LabCorp是美国最大的血液检测实验室，而LabCorp在近日发表声明称，他们遭到了黑客的非法入侵，而这一事件将会让数百万的美国公民陷入安全风险之中。

黑客通过LabCorp的漏洞入侵了管理系统，但该公司表明目前无任何未经授权的转让或滥用数据的情况发生。为保证数据安全，现已关闭部分设施，并努力恢复全部系统正常运营。

7.“黑客导师”带大学生徒弟攻击300家网站，双双入狱

据成都商报报道，90后“黑客导师”彭岩（化名）和其学生唐斌（化名）因多次利用黑客技术入侵政府、商业网站，窃取出售个人信息受到处罚。今年6月，泸州市江阳区人民法院宣判：犯罪嫌疑人彭岩犯传授犯罪方法罪，判处有期徒刑1年6个月；犯罪嫌疑人唐斌犯侵犯公民个人信息罪，判处有期徒刑3年1个月，并处罚金4000元。

8.医疗软件公司MedEvolve因服务器漏洞致20多万患者信息泄露

MedEvolve是一家美国阿肯色州的医疗软件公司。在2018年5月11日，当该公司的工作人员在一个FTP服务器上发现了一个包含患者数据的文件后，他们注意到了这个漏洞。在2018年3月29日到2018年5月4日期间，该文件都是可以被公开访问。他们同时也指出，曾经就有人在2018年3月29日对该文件进行了非法访问。

尽管该公司在2018年7月10日才披露了这起数据泄露事件，但databreach.net早已经在5月份就发布了这一消息。根据他们在2018年5月16日发表的博客文章，他们的研究人员发现了一个属于MedEvolve公司的在线暴露FTP服务器，其中包含了一个存储有20.5万名患者个人信息的文件。

9.Robocall公司泄露了美国数十万选民个人信息

总部位于弗吉尼亚的robocall公司，近日被安全研究人员发现企业数据库被曝光，其中包含了数十万美国选民的个人详细信息。

安全公司Kromtech的研究员Bob Diachenko表示，他通过使用名为GrayhatWarfare的在线服务发现了这些数据，这些数据存储于亚马逊网络数据服务中心。此类隐私数据不应该暴露在公众视野，但现在处于完全公开的状态。

10.公安部：我国首次开展大数据安全整治

据《经济参考报》记者获悉，我国正在开展的全国网络安全执法大检查行动中，首次开展针对大数据安全的整治工作，具体包括大数据的采集、存储、应用、传输、销毁等全生命周期的监管、安全以及保护。其中一项重点工作是对合法采集内容与非法采集内容进行分类。其中，对于非法采集信息，将进行集中打击、销毁；对合法、合规采集的信息，则纳入保护监管范围。

公安部网络安全保卫局总工程师郭启全表示，大数据安全整治是我国近期正在开展的全国网络安全执法大检查行动中的重要内容，这也是首次将大数据安全纳入检查对象，尤其是针对公民个人信息的保护将是执法的重中之重。