3月第4周业务风控关注 |9款违规App曝光：涉及恶意扣费、隐私窃取、赌博

易盾业务风控周报每周呈报值得关注的安全技术和事件，包括但不限于内容安全、移动安全、业务安全和网络安全，帮助企业提高警惕，规避这些似小实大、影响业务健康发展的安全风险。

一、9款违规App曝光：涉及恶意扣费、隐私窃取、赌博

据网信广东消息，国家计算机病毒应急处理中心近期在净网行动中通过互联网监测发现，9款违法有害移动应用存在于移动应用发布平台中，其主要危害涉及恶意扣费、隐私窃取、赌博三类。
这些违法有害移动应用具体如下：
1、《PhotoLoop》（版本20.4）、《快对答案》（版本7.9.0）这两款应用存在扣费恶意代码，通过隐蔽等手段，导致用户经济损失。
2、《蓝贷》（版本1.0）、《吃鸡神助攻》（版本2.2.0）这两款应用存在危险行为代码，警惕该应用私自下载安装软件，窃取用户隐私信息，造成用户隐私泄露、资费消耗。
3、《Remember Everything-数字记忆》（版本1.1.0）、《大菠萝-线上平台》（版本1.0）、《炸金花-全民真人炸金花欢乐版》（版本1.0）、《Cuncaoxin Education》（版本1.0.6）、《银河娱乐》（版本1.1）这五款移动应用涉及赌博，通过押点数、斗牌、博彩等形式进行含有赌资往来的赌博活动，涉及违法并存在财产安全。[来源：网信广东]

二、Facebook等科技公司高管被国会要求就新西兰枪手直播案作出回应

据腾讯科技报道，上周，新西兰克赖斯特彻奇的两座清真寺发生枪杀事件。枪手在社交网络脸书上直播杀戮过程，社交网络迟迟没有删除血腥内容，引发全球舆论的关注。
在新西兰枪击事件引发社交网络争议后，美国众议院国土安全委员会(House Committee On Homeland Security)主席给四家主要科技公司的高管写了一封信，敦促他们在发生极端事件之后，要更快速删除极端暴力内容，并向委员会简要介绍他们的回应和计划，以防止类似事件在未来发生。
周日，Facebook表示已经删除了近150万个相关视频，YouTube表示已删除的视频数量“ 达到空前的水平 ”。[来源：腾讯科技]

三、Facebook 利用AI限制“复仇色情”的传播

据路透社3月15日报道，Facebook推出新的“复仇色情”检测工具，利用AI来追踪未经同意分享的亲密照片。“复仇色情”是指将前交往对象的裸照等散布到网上甚至向对方勒索赎金的行为。
人工智能技术能够在用户举报之前就检测到在Facebook和Instagram上共享的近乎裸体的图像和视频，再由人工管理员审查标记的内容，如果违反了社区标准，就将其删除。Facebook表示，分享“复仇色情”内容会导致账号被封杀，但如果遭遇错误的删除和封号，可提交反馈信息。
“复仇色情”检测工具是一个试点项目的补充，该项目允许用户向Facebook提交照片以供审查，并阻止不符合要求的照片在平台上共享。Facebook还表示，将在未来几个月扩大这一试点项目。另外，Facebook安全中心设立了受害者支持中心，“复仇色情”受害者可以在那里可以找到组织和资源来获取帮助。[来源：Freebuf]

四、新加坡血库数据出现网安漏洞 经专家举报及时纠正

超过80万名捐血者的姓名、身份证号码、性别和血型等资料被挂上有互联网连接的服务器，管理血库数据的卫生科学局说，目前只有一名网络安全专家获取该数据，他已承诺会把数据删除。
卫生科学局局长庄美玲医生就此网安漏洞向全体捐血者致歉，并呼吁捐血者不要因此对国家捐血计划失去信任。[来源：看雪]

五、一家健康科技公司正在泄露大量医疗记录和处方

外媒TechCrunch报道，一家健康科技公司在安全证书失效导致服务器没有密码后，每天泄漏数千张医生药方、医疗记录和处方。这家名不见经传的软件公司来自加利福尼亚州的Meditab，自称是医院、医生办公室和药房领先的电子医疗记录软件制造商之一。该公司为医疗保健提供商处理电子传真，仍然是将患者文件共享给其他提供商和药房的主要方法。
据发现数据的安全公司称，该传真服务器没有得到妥善保护。自2018年3月创建以来，公开的传真服务器运行的Elasticsearch拥有超过600万条记录。由于服务器没有密码，任何人都可以实时读取传输的传真，包括其内容。
根据对数据的简要回顾，传真包含大量个人身份信息和健康信息，包括医疗记录、医生药方、处方数量和数量，以及疾病信息等。传真还包括姓名、地址、出生日期，在某些情况下还包括社会安全号码和健康保险信息以及支付数据。传真还包括有关儿童的个人数据和健康信息。没有数据被加密。[来源：cnbeta]

六、新的Mirai僵尸网络变种涉及27个漏洞，瞄准企业设备

来自NOSEC消息，一个新的Mirai变种带来了11个新的漏洞攻击，企业WePresent WiPG-1000无线演示系统和LG Supersign TV是最显眼的目标。由于其创造者增加了11个新的漏洞用于攻击，总数现已达到27。正如Unit 42进一步发现的那样，僵尸网络的恶意利用代码托管在哥伦比亚公司的服务器上，具有讽刺意味的是， 该服务器提供“电子安全，集成和警报监控”服务。[来源：今日头条]

七、不安全的数据库泄露中国3300万份简历

近日，研究人员Sanyam Jain发现一个不安全的数据库，包含约3300万份中国用户的简历。这些简历文件共有57G大小，可在网上公开访问。简历信息包括用户名、性别、年龄、所在城市、家庭地址、邮箱、手机号、婚姻状态、工作经历、教育经历、薪水等。在3月10日发现这个数据库后，Sanyam尝试寻找数据库的管理员，但是并没有找到，只分析出这些简历与中国的51Jobs、拉勾网以及智联招聘等招聘网站有关。据分析，可能是有人专门从这些网站搜集用户上传的简历并集中到一起，用于特殊目的。目前，国内安全应急响应中心CNCERT已经接到了Sanyam的报告，并确认该数据库IP所属者是“北京机到网络科技有限公司”，并通知该公司关闭了该数据库。但是，尚不清楚此前有多少人接触到或者利用过这些信息，建议使用过这些网站的用户注意保护自己的信息并警惕钓鱼攻击。[来源：Freebuf]

八、工信部：应用商店全面下架“社保掌上通”APP

3月15日，第29届央视35晚会曝光了众多APP通过不平等、不合理条款的授权协议，强制索取用户的个人信息的问题。其中，社保掌上通APP被晚会点名，晚会主持人通过实际操作发现，当用户在该APP上输入身份证号、社保账号、手机号等信息，完成注册后，电脑远程就能截取到用户的几乎所有信息。据媒体报道，工信部立即启动应用商店联动处置机制，要求腾讯、百度、华为、小米、OPPO、Vivo、360等国内主要应用商店全面下架 “社保掌上通”APP，对“社保掌上通”手机APP的责任主体杭州递金网络科技有限公司进行核查处理，并全力组织对同类APP进行排查检测，对类似问题一并要求整改。[来源：cnbeta]