【华安星安全资讯】半月精选集（2025.1.13-1.26）

      近日，国家发展改革委、国家数据局、中央网信办、工业和信息化部、公安部、市场监管总局联合印发了《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》。《方案》从明晰企业数据流通安全规则、加强公共数据流通安全管理、强化个人数据流通保障、完善数据流通安全责任界定机制、加强数据流通安全技术应用、丰富数据流通安全服务供给、防范数据滥用风险等七个方面作出具体部署。

      近日，工业和信息化部印发《关于加强互联网数据中心客户数据安全保护的通知》，部署加强互联网数据中心客户数据安全保护。针对典型业务场景，提出明确安全责任界面、强化制度建设和组织保障、加强客户管理、加强客户数据安全保障、做好事件应急处置等工作要求。《通知》根据《数据安全法》《网络安全法》《网络数据安全管理条例》《工业和信息化领域数据安全管理办法（试行）》等法律法规和政策要求，按照“权责一致、分类施策、技管结合、确保安全”的原则，加强客户数据安全保障能力建设，提升客户数据安全保护水平。

      2024年，美国政府收到超过700起医疗数据泄露事件报告，超过1.8亿条患者医疗记录遭泄漏，人数甚至超过了TikTok用户数（1.7亿）。而且，医疗行业泄漏的患者信息远比社交网站收集的元数据和广告数据更为敏感。

      美国政府技术承包商Conduent日前遭受网络攻击，操作系统被破坏，导致业务中断。Conduent为医疗补助、儿童抚养、食品援助等项目提供技术解决方案。该公司为约1亿美国居民提供支持，帮助州和联邦机构提供关键服务，同时降低成本、提高项目参与度并改善合规性。Conduent发言人表示，公司近期因“第三方入侵”导致了操作系统运营中断。发言人称：“这一失陷事件被迅速遏制。我们的技术环境目前已由第三方安全专家确认，没有发现已知的恶意活动。”对于此次攻击的具体细节，发言人拒绝透露更多信息，亦未回答是否涉及勒索软件攻击或数据盗窃的相关问题。

       黑客IntelBroker宣称已经入侵惠普企业公司（HPE），并公布了诸如源代码、证书和个人身份信息（PII）等敏感数据，这些数据如今可在线售卖。HPE是一家总部位于美国得克萨斯州休斯顿的全球性企业，为企业提供技术解决方案。黑客宣称已经提取了敏感数据，包括源代码、私人GitHub仓库、Docker构建、证书（私钥和公钥）、属于Zerto和iLO的产品源代码、与交付相关的旧PII等用户数据，还有访问API、WePay、自托管GitHub仓库等的权限。

      英国头部企业软件厂商Sage集团确认，由于Sage Copilot在会计工具中泄露了客户信息给其他用户，公司决定本月暂时停用这款AI助手。报道称，“有一位客户发现，当他们请求Sage Copilot展示最近的发票列表时，AI从其他客户的账户中提取了数据，包括他们自己的账户信息。” Sage Copilot于2024年2月发布，这款聊天机器人旨在自动化工作流程、捕捉错误，并生成与商业会计相关的建议行动。

     近日，安全研究员发现了斯巴鲁（Subaru）汽车星链管理系统中的一个漏洞。通过该漏洞，攻击者仅凭借基本的客户信息，如姓氏、邮政编码、电子邮件地址、电话号码或车牌号码，就能够完全访问车辆的控制系统及数据。这一漏洞使得黑客可以精确追踪车辆位置，精度达到5米，并记录下过去一年中每次发动机启动时的坐标。

      2025年将是网络安全防御史上最具挑战性的一年，人工智能、地缘政治不稳定和不断演变的攻击面交汇，呈现出更加复杂的威胁环境。人工智能的迅猛发展正在重新定义网络安全的边界。随着技术的进步，威胁的复杂性和多样性也在不断升级，勒索软件不再仅仅是为了经济利益，而是成为破坏和操控的工具。基于当前的威胁情报和新兴的攻击模式，该文列举了2025年人工智能带来的五个重要网络安全趋势预测，包括勒索软件将变为数据破坏和操控工具、人工智能驱动的攻击将超越人类防御、关键基础设施将成为早期目标、供应链攻击将升级 、网络安全工作场所的技能差距将加深。