2025年第42周安全周报 | 本周安全要闻速览
● 国家能源局印发《关于加强用户侧涉网安全管理的通知》
随着新型电力系统建设加快推进，源网荷储各环节的耦合度不断提高，用户侧的运行状态和安全水平对电网整体安全稳定运行的影响日益显著，因用户侧涉网安全问题引发的电力故障和事故也呈现增多趋势。近日，国家能源局官网发布了《关于加强用户侧涉网安全管理的通知》，明确要求省级电力管理部门统筹梳理并认定本地区涉网用户范围，重点覆盖大负荷用户、电能质量敏感型用户、源荷混合型用户、负荷聚合类用户及自备电厂等类型。通知提出，要建立健全全流程管理机制，确保用户侧运行的可观、可测、可调、可控。要强化网络与信息安全，防范通过通信接口或管理系统实施的非法控制行为，堵塞用户侧信息安全漏洞。运行管理方面还要求加强监测预警能力，推动用户侧通过微电网、源网荷储一体化、虚拟电厂等模式参与调度，提高用户资源的灵活调节能力。
来源：国家能源局
● 互联网法院案件管辖范围调整，新增四类网络案件类型
最高人民法院近日发布《最高人民法院关于互联网法院案件管辖的规定》，对互联网法院案件管辖范围作出调整完善，并明确了互联网法院的案件管辖范围、协议管辖规则、上诉审理机制等，将“网络数据权属、侵权、合同纠纷”、“网络个人信息保护、隐私权纠纷”、“网络虚拟财产权属、侵权、合同纠纷”、“网络不正当竞争纠纷”纳入互联网法院管辖范围。将从 2025 年 11 月 1 日起正式实施。
来源：最高人民法院
● 新版反不正当竞争法15日起实施，“流量劫持”、“数据窃密”等行为将被严惩
新修订的《中华人民共和国反不正当竞争法》10月15日将正式施行。这部法律历经三次修改，直面数字经济时代的新挑战与民生关切的问题，通过制度升级为公平竞争市场秩序装上“安全阀”，为经营者与消费者权益提供更坚实的法律保障。针对平台经济发展中的不正当竞争新形态，新法第十三条专门强化了网络竞争规则。明确禁止经营者利用数据、算法、平台规则实施三类行为：一是强制跳转、恶意卸载等破坏其他经营者服务正常运行的行为；二是以不正当方式获取、使用他人合法持有的数据；三是滥用平台规则实施虚假交易、虚假评价、恶意退货等打压竞争对手的行为。这意味着“流量劫持”“数据窃密”“网络水军”等长期困扰电商行业有序发展的违法行为，将面临直接的法律制裁。
来源：网信湖北
● 5项网络安全国家标准公开征集参编单位
日前，全国网络安全标准化技术委员会在网站发布公告，为了切实做好网络安全国家标准编制工作，鼓励更多单位切实参加到标准编制过程中，提高标准编制工作的开放性、公正性、透明性，提升标准的实用性和质量，即日起按照《全国信息安全标准化技术委员会标准参与单位管理办法（暂行）》要求，公开征集《数据安全技术 网络数据自动化工具收集行为规范》等5项网络安全国家标准参编单位，具体标准名称如下：
1、《数据安全技术 网络数据自动化工具收集行为规范》标准
2、《网络安全技术 信息安全风险评估实施指南》标准
3、《网络安全技术 网络安全威胁信息评价指标和方法》标准
4、《网络安全技术 网络安全事件管理 第4部分：协同》标准
5、《数据安全技术 小型个人信息处理者个人信息保护指南》标准
来源： 全国网络安全标准化技术委员会
● 美国加州要求浏览器内置一键“Opt-Out”功能
2025年10月8日,加州州长签署《选择退出法案》（California Opt Me Out Act）。加州因此成为全美第一个要求浏览器为用户提供内置、简易方式来告知网站“不要出售或分享其个人信息”的州。该法案将对互联网浏览器开发商产生较大影响。法案通过在《民法典》中增加第1798.136条，确立了浏览器需要内置一键“Opt-Out”功能。核心内容规定，企业不得开发或维护不包含一键“Opt-Out”功能的浏览器。该功能必须可由消费者自行配置，且可以通过其浏览器向使用的网站发送“选择退出偏好信号”，传达消费者选择退出其个人信息被出售和分享的决定。当用户启用此功能后，浏览器将自动告知其访问的网站用户的隐私偏好，从而保护其浏览历史、位置数据、购物历史和个人兴趣等信息不被出售给数据经纪商或其他第三方。简而言之，用户只需点击打开一键“Opt-Out”选项，就能在使用该浏览器访问的互联网范围内保护自己的隐私数据不被出售和分享。根据法案要求，该功能的设计必须具有易用性，且必须在其公开披露信息中，清晰地向消费者解释“选择退出偏好信号”的工作原理及其预期效果。法案还为合规的浏览器开发商提供了一定的保护。对于因接收选择退出信号的企业违反法规而产生的责任，开发和维护浏览器的企业将被豁免。该法案的各项条款将于2027年1月1日起正式生效。
来源：安全内参
● 哈佛大学证实遭受Cl0p勒索攻击，1.3TB敏感数据或被窃取
哈佛大学日前官方证实遭受Cl0p勒索组织攻击，但试图淡化此事件的影响，称安全漏洞似乎仅限于一个小型行政单位，目前无其他系统遭入侵的证据。Cl0p勒索软件组织稍早前在其数据泄露网站上公布了哈佛大学成为了针对甲骨文E - Business Suite（EBS）漏洞利用攻击活动的目标，并宣称将公开从哈佛大学窃取的1.3TB数据。谷歌威胁情报小组和Mandiant分析此次勒索活动发现，攻击者利用了7月已修复的EBS漏洞及可能的零日漏洞（CVE - 2025 - 61882），向公司高管发送勒索邮件。攻击者或通过入侵用户邮箱、利用EBS默认密码重置功能窃取有效凭证。 相关攻击披露后，甲骨文公司已针对CVE - 2025 - 61882发布了紧急补丁提醒。
来源：securityaffairs
● 美国健康领域协调委员会发布 SMART 工具包 助力医疗组织管理第三方系统性网络风险
健康领域协调委员会（HSCC）下属网络安全工作组发布 “医疗行业网络安全领域映射与风险工具包（SMART）”，由 80 家跨领域医疗相关机构历经 16 个月协作完成，核心用于帮助各规模医疗组织（含中小机构）跟踪管理支撑核心流程的第三方服务系统性风险，响应《2024-2029 年医疗行业网络安全战略计划》第三方风险管理要求。工具包分两阶段实施：第一阶段通过 “组建跨领域团队、定义重要性、定制职能映射表、识别供应商依赖、开展中断模拟” 识别高风险第三方；第二阶段通过 “供应商风险评估、分级管理、标准化流程、制定整改计划、合同优化” 缓解风险。目前暂未单独纳入 AI 风险，正联合 AI 专项小组研究，相关成果 2026 年发布。此前 HSCC 曾指出资源受限医疗机构面临 “人员短缺、系统过时、资金不足” 等安全挑战，此次工具包旨在通过结构化方法提升医疗生态系统韧性，保障业务连续性与患者安全，推动第三方服务安全标准提升。
来源：Industrial Cyber
● ACSC报告针对澳大利亚关键基础设施的网络攻击激增，重点转向建设弹性
澳大利亚网络安全中心（ACSC）发布《2024-25 财年网络威胁年度报告》，核心揭示澳大利亚关键基础设施面临的严峻网络威胁：国家支持的网络行为体、网络犯罪者及黑客活动分子持续将其作为目标，2024-25 财年关键基础设施相关事件占比 13%（同比 + 2%），恶意活动通报次数增长 111%，主要威胁包括资产入侵（55%）、DoS/DDoS 攻击（23%）、凭证被盗（19%），勒索软件仍是最具破坏性的网络犯罪类型（ACSC 响应 138 起）。报告指出，威胁呈现三大新趋势：生成式 AI 被用于自动化攻击、伪造内容以提升诈骗成功率；国家支持行为体与网络犯罪者界限模糊，均利用系统漏洞与相似工具；关键基础设施的 IT/OT 复杂网络及供应链扩大攻击面。同时，“具有密码学意义的量子计算机（CRQC）” 临近，需提前准备后量子密码学（PQC）。应对层面，ACSC 提出四大关键举措（实施最佳日志记录、替换遗留 IT、管理第三方风险、准备 PQC），推出 “CI Fortify” 指南助关键基础设施应对危机；澳大利亚政府通过 “REDSPICE 项目” 强化网络能力，首次对俄罗斯网络犯罪支持实体实施制裁，并强调国际协作的重要性，同时呼吁个人与企业采取基础防御措施（启用 MFA、更新软件等），以提升整体网络韧性。
来源：Industrial Cyber
● 美国CISA发布紧急指令26-01应对F5设备引发的联邦网络安全威胁
美国 CISA 发布紧急指令26-01，应对 “国家支持的威胁行为体入侵F5系统” 引发的联邦网络安全危机 —— 该行为体窃取了F5 BIG-IP源代码及未披露漏洞信息，可能利用这些信息攻击使用 F5 设备的联邦网络，获取凭证、横向移动甚至完全控制系统。指令要求联邦民事行政部门（FCEB）机构在 10月 22日前完成F5 BIG-IP产品清点、公网暴露评估与更新补丁应用，10月31日前完成剩余设备补丁与加固，同时停用已淘汰的公网F5设备，并分阶段向 CISA 提交报告；F5则确认暂未发现漏洞被活跃利用，且软件供应链未遭篡改，将协助受影响客户应对风险。尽管面临政府停摆与相关法案失效，CISA 仍强调需立即行动，同时提醒所有使用F5技术的组织警惕同类风险，避免关键系统遭灾难性入侵。
来源：Industrial Cyber
● 加州颁布颁布年龄验证与聊天机器人相关法律
加州州长纽瑟姆签署两项核心网络安全法案：一是《数字年龄保障法》，要求设备首次设置时家长提供孩子年龄，制造商将用户分四个年龄段同步给应用，无需家长下载同意或用户提供照片 ID，违规企业最高罚 7500 美元 / 受影响儿童（尽力合规则免担失误责任），获多家科技公司支持，且区别于德州、犹他州涉隐私争议的法案；二是要求聊天机器人运营商建 “预防自杀意念” 系统（如引导至预防热线），呼应联邦议员关注及 FTC 对 “儿童使用聊天机器人安全” 的审查。同时，Instagram 同步推出儿童内容管控计划，将内容划分为 PG-13 级，限制儿童浏览范围，青少年需家长同意才能取消该设置。整体举措聚焦儿童网络安全，平衡保护与隐私，强化科技企业责任。
来源：The Record
