2024年第23周安全周报 | 本周安全要闻速览

近日，媒体报道称西班牙交通总局（DGT）疑似遭受黑客攻击，数百万西班牙司机的个人信息被泄露并发布在黑客论坛上。DGT在检测到可疑活动后发现其车辆驾驶员数据库在网上被出售，随后警方于31日宣布展开调查。DGT数据库包含超过2700万在西班牙注册驾驶员的详细信息，如车牌号和保险数据。匿名用户在BreachForums论坛声称拥有查询任何车牌或证件号码的权限，并正在出售DGT的完整数据库。DGT发言人表示，需要验证论坛上的说法是否属实，因为数据销售者常夸大其词。这起事件是西班牙近期一系列网络攻击中的最新一起。过去一个月，西班牙电信公司、桑坦德银行和伊维尔德罗拉能源公司等国内最大的三家公司也报告了网络攻击事件，导致大量员工和客户数据泄露。

美国国家安全局（NSA）发布了一份网络安全信息表（CSI），详细介绍了零信任（ZT）框架的核心支柱，旨在指导组织如何系统地降低网络安全风险并快速识别、检测和应对新出现的网络威胁。该文件基于美国国防部（DoD）的ZT成熟度等级，提供了从准备到高级的详细指导，并补充了ZT投资组合管理办公室（PfMO）的“目标”和“高级”级别。NSA的指南名为“在可视和分析支柱中提升零信任成熟度”，强调了持续改进周期的重要性，确保所有基础设施免受非法入侵。该指南建议组织利用人工智能（AI）和机器学习（ML）技术进行更深入的日志分析和威胁识别，通过集中的安全信息和事件管理（SIEM）系统来整合和分析数据，从而提高对可疑或恶意活动的检测能力。此外，指南还强调了威胁情报的重要性，建议组织集成威胁指标、策略、技术和程序（TTP）等信息，以提高AI/ML模型的准确性并为安全分析师提供决策支持。

美国联邦通信委员会（FCC）计划6月6日就改善互联网关键组成部分的安全性进行投票。该提案要求宽带互联网提供商制定并维护安全的路由计划，并提交季度报告以展示努力。FCC主席表示，边界网关协议（BGP）的不安全性已被滥用，导致网络数据被劫持。尽管一些行业团体担心提案可能过于严厉，但规则已针对行业反馈进行了修改，以缓解部分担忧。此举表明FCC认真对待改善互联网基础设施安全，并为行业提供了灵活性来实现这一目标。

不列颠哥伦比亚省公共服务部负责人于6月4日透露，该省网络遭受了来自国家支持的黑客攻击，22名省级雇员的电子邮件收件箱可能被访问，其中19人的敏感个人信息包括人事档案可能泄露。受影响个人已收到通知，并提供信用监控和身份保护服务。目前，没有发现信息滥用或特定文件被访问的证据，且此次攻击非勒索软件攻击。公共安全部长确认，没有迹象显示公众信息被访问，且内阁成员未受影响。事件始于4月10日，随后展开调查，并报告给加拿大网络安全中心，启用微软的DaRT工具。4月29日，发现同一威胁行为者再次发起攻击，省级雇员被要求更改密码。5月6日，确认第三次攻击，由同一威胁行为者负责。5月8日，网络安全中心同意通知公众，事件被公开。

欧洲数据保护监督机构（EDPS）在其官网上发布了题为《生成式人工智能与EUDPR》的指南，这是首份适用于欧盟机构的人工智能与数据安全指南。该指南旨在为欧盟机构、部门、办公室和机构（EUIs）在使用生成性人工智能系统处理个人数据时提供实际操作建议和指示，以帮助其遵守《欧盟2018/1725号条例》中的数据保护义务。指南涵盖尽可能多的情境和应用，不规定具体技术措施，而是强调应遵守的数据保护一般原则。这分指南为欧盟机构负责任地使用生成性人工智能系统提供了重要参考，指南重点在于数据最小化、数据准确性和数据安全，强调了透明和问责和在人工智能全生命周期内保护个人权利的重要性。

据报道，总部位于新加坡的新闻网站 Tech in Asia 遭遇大规模数据泄露，似乎影响了 23 万名用户。泄露的数据据称包含敏感的用户信息，这引发了人们对潜在身份盗窃和有针对性攻击的担忧。威胁者  声称，他利用Tech in Asia 的 API（应用程序编程接口）中的漏洞入侵了该网站并获得了对这个大型数据库的访问权限。API 是一种软件中介，允许 TA 运行两个软件应用程序以相互通信。Tech in Asia API 中的漏洞可能使黑客能够未经授权访问超过 200,000 名用户的数据。事实上，TA 还发现了其他漏洞，使他能够访问该网站的内部服务。

FBI近日宣布已成功追回约7000个与LockBit勒索软件相关的解密密钥，并呼吁受害企业联系FBI以免费恢复被加密的数据。在波士顿网络安全会议上，FBI网络部门助理主任介绍了他们为打击LockBit所采取的策略，包括与10个国家合作，特别是与英国国家犯罪署的长期合作。并指出，LockBit的成功部分归因于其创始人Dimitri Khoroshev的商业运作。他鼓励所有可能的受害者访问ic3.gov报告情况，以获取解密密钥并恢复数据。FBI网络部门助理主任重申了FBI打击网络犯罪的决心，并强调预防措施和国际合作的重要性。他还警告企业注意勒索软件即服务（RaaS）模型的威胁，这些模型通常结合多种勒索技术，使受害者面临数据盗窃和财务敲诈的双重风险。

乌克兰计算机应急响应小组（CERT-UA）报告，名为UAC-0020（Vermin）的黑客组织发起了一项名为“病态同步”（SickSync）的新攻击行动，针对乌克兰防御部队。攻击始于一封带有密码保护的RARSFX档案“turrel.fop.wolf.rar”的钓鱼邮件。受害者打开该文件后，会提取出PDF文件（Wowchok.pdf）、安装程序（sync.exe）和BAT脚本（run_user.bat）。BAT脚本执行sync.exe，其中包含合法的文件同步软件SyncThing和名为SPECTR的恶意软件。SyncThing建立点对点连接用于同步数据，被黑客用来窃取文件和账户密码。SPECTR恶意软件具有截屏、文件复制、USB设备文件窃取以及从各种浏览器和即时通讯工具中窃取认证数据等功能。CERT-UA指出，黑客利用合法工具进行数据外传，减少了被安全系统标记为可疑网络流量的可能性。