10月第3周业务风控关注|网络安全威胁信息格式规范正式发布

易盾业务风控周报每周呈报值得关注的安全技术和事件，包括但不限于内容安全、移动安全、业务安全和网络安全，帮助企业提高警惕，规避这些似小实大、影响业务健康发展的安全风险。

1 网络安全威胁信息格式规范正式发布，国内威胁情报发展迎来新阶段

2018 年 10 月 10 日，我国正式发布威胁情报的国家标准——《信息安全技术网络安全威胁信息格式规范Information security technology — Cyber security threat information format》(GB/T 36643-2018)。

这份标准由中国电子技术标准化研究院牵头制定，共有 29 家单位共同参与完成。通过结构化、标准化的方法描述网络安全威胁信息，以便实现各组织间网络安全威胁信息的共享和利用，并支持网络安全威胁管理和应用的自动化。这意味着我国网络安全在法规、规范方面又更进一步，同时，也顺应了当前阶段网络安全领域威胁情报的发展现状和趋势。

2 北京网信办约谈360doc个人图书馆，责令暂停服务并整改

北京时间10月15日消息，因360doc个人图书馆平台长期存在大量严重违法违规信息，北京市网信办依法约谈360doc个人图书馆主要负责人，责令立即开展专项整理，进行全面整改，整治期间（自10月15日16时至11月15日16时止）网站停止服务。

3脸书数据失窃影响300万欧洲用户 最高可被罚16.3亿美

据外媒报道，爱尔兰数据保护委员会周二称，在Facebook（脸书）9月遭遇的安全入侵事件中，有大约300万个欧洲用户受到影响。该社交网络最高可被罚款16.3亿美元。

此次安全入侵事件有望成为欧洲新出台的一般数据保护法规（GDPR）面临的首次重大考验。受到影响的欧洲用户的数量决定了针对该社交网络公司的惩罚力度。目前，爱尔兰数据保护委员会正在调查此次数据入侵事件。

4因App过度索取用户信息，上海网信办约谈本地23家常用APP运营企业

上海市市网信办指出个人信息、个人隐私受国家法律保护。最近个人信息泄露事件频发，引起社会各界的广泛关注。市网信办近期对本地最常用的23个Android APP就获取用户个人信息等相关权限申请情况进行抽查。

这次抽查结果显示，23个APP累计共申请864项权限，其中“合理”权限444项，占比51.4%，“不合理”权限264项，占比30.6%，“合理但存在风险”权限156项，占比18%。

5第三方供应商遭攻击，五角大楼泄露3万雇员和服务人员信息

据美联社报道，五角大楼领导层于10月4日获悉，这名未透露姓名的供应商受到了损害，暴露了军人和服务人员的PII和信用卡信息。攻击类型尚未公布，但消息人士告诉美联社没有涉及机密数据。五角大楼发言人告诉美联社，有关供应商仍在签订合同，但国防部已采取措施削减与该公司的关系。
黑客的目标是承包商，因为他们通常被认为是政府供应链中最薄弱的环节。

五角大楼和联邦雇员对于泄露个人信息并不陌生。2015年，人事管理办公室的数据泄露事件中涉及2150万现任和前任政府雇员。

6含恶意插件窃取信息 十款移动应用不要下载

近日在净网行动中，国家计算机病毒应急处理中心通过互联网监测发现，10款违法有害移动应用存在于移动应用发布平台中，其主要危害涉及隐私窃取、恶意传播、资费消耗、系统破坏和流氓行为五类。

这些违法有害移动应用具体是：《贪玩蓝月》（版本V 1.0.7.59）、《慧投足球》（版本V1.0.13）、《农场模拟器2018》（版本V1.8.0）这三款移动应用存在危险行为代码，警惕私自下载安装移动应用，窃取用户隐私信息，资费消耗。《美女黄色依衣壁纸》（版本V10.10）、《船梨育成2》（版本V1.0）、《僵尸男友》（版本V1.2.2）这三款移动应用捆绑恶意广告插件，造成流量损失。《全民开心炸三家》（版本V1.0）这一款移动应用包含恶意插件，造成流量消耗和资费损失。《生化大作战》（版本V1.4）这一款移动应用利用系统漏洞进行提权，私自修改系统配置，警惕造成系统破坏。《吉他英雄》（版本V2.5）、《改变声音》（版本V5.2.27）这两款移动应用包含恶意广告插件，严重干扰移动设备正常使用。

7黑客攻击成人网站窃取165枚ETH，归还后获奖5000美元

10 月 6 日，基于以太坊的成人娱乐平台 SpankChain 遭受黑客攻击，匿名攻击者利用该平台支付渠道智能合约漏洞窃取 165.38 枚 ETH，价值约 38000 美元。同时该漏洞导致了价值 4000 美元SpankChain的内部代币BOOTY无法流通。

根据 SpankChain 的调查，黑客利用了一个可重入性漏洞创建伪装成 ERC20 令牌的恶意合同，通过转移功能多次回调到支付渠道合同中，每次都提取一些 ETH 。

在10月11日，事情发生了大反转。SpankChain 在Twitter上表示，通过电话与窃取ETH的黑客沟通之后，黑客已经全部归还窃取的 ETH。而 SpankChain 则以 5000 美元作为奖励回报这位匿名黑客，并且给予 5.5 ETH 用来补偿黑客发动攻击的成本。

8Radware发布2018年Web应用安全现状报告

日前，全球领先的网络安全和应用交付解决方案提供商Radware公司发布了第二份年度Web应用安全调查报告：Radware 2018年Web应用安全现状。报告显示，67%的企业认为黑客仍然可以侵入企业网络。这项研究关注的是跨国公司，并指出，应用层攻击的频率和复杂性在不断增长。至少89%的受访者在过去一年都遭遇过针对Web应用或Web服务器的攻击。尤其是，声称遭受过加密Web攻击的受访者从2017年的12%增长到了2018年的50%。59%受访者称每天或每周都会有攻击事件发生。

9声音互动APP荔枝成立内容安全中心

为加强平台的内容安全管理，近日，荔枝成立内容安全中心，这意味着荔枝把内容安全管理工作放在更为重要的地位。荔枝创始人兼CEO 赖奕龙赖奕龙表示：“除了成立内容安全中心外，后台内容的管理系统，内容审核的安全培训体系等都在建设之中。”

点击免费体验网易云易盾安全解决方案。