2023年第36周安全周报 | 本周安全要闻速

德国联邦金融监管局（BaFin）宣布，其网站持续受到分布式拒绝服务（DDoS）攻击影响。BaFin是德国金融监管机构，隶属于财政部，负责监管2700家银行、800家金融机构和700家保险服务提供商。这家监管机构因在德国境内外扮演的执法角色而闻名。近年来，BaFin因各种违法行为对德意志银行和美国银行分别处以1000万美元和500万美元罚款。根据9月4日发布的通告，BaFin已采取了一切适当的安全预防举措和防御措施，保证运营活动免受黑客攻击。

新学年刚开始不到一周，美国宾夕法尼亚州钱伯斯堡学区宣布发生“临时网络故障”，连续三天（8月28-30日）取消所有课程。该学区发表在线声明，表示“正在与第三方司法鉴定专家密切合作，调查故障来源，确认故障对系统的影响，并尽快恢复系统的全部功能。”表示，服务中断最可能的原因是勒索软件攻击。学区还宣布，所有学校将于上周五（9月1日）按常规时间开放。学区将上周四的课程表整体向后推迟两小时，要求学生在上周剩余时间里，将平板电脑设备留在家中，禁止访客和志愿者进入学校建筑。学区表示，预期技术限制还将持续，学生将无法访问互联网。学区工作人员在学区网站上发布消息，表示：“我们将继续调查，与我们的专业领域专家以及执法部门一起确定这一事件的全部性质和范围。”

美国国家安全委员会泄露了其成员的近1万份电子邮件和密码，暴露了政府组织和大公司在内的2000家公司。其中包括美国国家航空航天局和特斯拉等。国家安全委员会（NSC）是美国的一个非营利组织，提供工作场所和安全培训。在其数字平台上，NSC为分布在不同企业、机构和教育机构的近55000名成员提供在线资源。然而，该组织的网站在五个月的时间里受到网络攻击。公众可以访问暴露了数千个凭据的网络目录。在一长串泄露的证书中，有大约2000家公司和政府实体的员工。该漏洞不仅对NSC系统构成风险，也对使用NSC服务的公司构成风险。泄露的凭据可能被用于凭据填充攻击，这些攻击试图登录公司的互联网连接工具，如VPN门户、人力资源管理平台或公司电子邮件。此外，这些凭据可能被用于首次访问公司网络，部署勒索软件，窃取或破坏内部文件，或访问用户数据。

9月5日消息，一些公司开始将首席执行官和其他高层领导的奖金与网络安全指标挂钩。治理专家表示，这一举措可能使公司更安全地抵御黑客攻击。这一做法在美国大公司中逐渐普及。会计和咨询公司安永的最新研究显示，2022年财富100强公司中，有9家将特定高管的部分短期奖金与网络安全目标相关联。安永表示，2018年还没有公司采取上述措施。美国知名代理咨询公司机构股东服务（ISS）的数据部门ISS ESG发现，去年全球超过15000家上市公司中，有86家采取了这种做法，包括美国制药公司强生、伦敦证券交易所和英国Paragon银行集团。ISS公司高级网络安全中心执行主席William Guenther表示，网络安全通常由技术和安全部门负责。但是他认为，网络安全目标应该提升到更高层面，并与高级高管的薪酬计划挂钩，这有助于将安全因素纳入公司战略决策。他补充道：“这虽然是一小步，却是非常重要的一小步。”

以伊朗为主要目标的黑客组织“黑色奖励”（Black Reward）在上周四宣布，针对数百万伊朗人使用的金融服务应用程序“780”发起网络攻击。该组织在网上发布屏幕截图，图中写道：“打倒哈梅内伊！”“我们回到街头，因为革命仍在继续。为了女性、生命、自由。”消息末尾还加上了#MahsaAmini的标签，是指这位伊朗女子在2022年9月被警察拘留杀害一事。那次事件在当时引发了伊朗全国范围的抗议活动。该组织在Telegram频道发布了一条消息，翻译如下：“众所周知，革命之火可能会平息，但它永远不会熄灭。黑色奖励组织属于人民，将一直与人民并肩行动，直到取得胜利。”上述消息通过“780”应用程序推送。该应用程序支持在线购物、账单支付、银行余额查询等金融交易。程序开发商声称拥有超过600万用户。从上周四晚上到上周五，很多人在推特转发了这条消息，他们还通过视频分享消息，发表评论。

黑客组织ShinyHunters最近表示，它已经访问了澳大利亚比萨饼店连锁店Pizza Hut100多万客户的数据。攻击者表示，他们在1-2个月前利用AWS中的漏洞入侵系统，窃取了超过3000万行机密信息。黑客发布的样本包含订单信息，包括姓名、地址、电话号码和客户的加密银行卡数据。专家核实了被盗数据的真实性。ShinyHunters黑客要求30万美元删除被盗信息。该组织已经在公共领域发布了拒绝支付赎金的公司的数据。到目前为止，澳大利亚的Pizza Hut还没有公开评论这一事件，也没有回应攻击者的要求。该公司的官方网站和社交媒体上也没有任何关于黑客攻击的信息或通知客户。当地媒体向Pizza Hut管理层提出的数据盗窃问题也没有得到答复。