数据安全每周观察|工业和信息化领域数据安全事件应急预案印发

政策趋势

一

工业和信息化部印发《工业和信息化领域数据安全事件应急预案（试行）》

为建立健全工业和信息化领域数据安全事件应急组织体系和工作机制，提高数据安全事件综合应对能力，确保及时有效地控制、减轻和消除数据安全事件造成的危害和损失，保护个人、组织的合法权益，维护国家安全和公共利益。近日，工业和信息化部印发了《工业和信息化领域数据安全事件应急预案（试行）》。

《应急预案》是根据《中华人民共和国突发事件应对法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规和《工业和信息化领域数据安全管理办法(试行)》等相关政策制度进行编制，适用于在中华人民共和国境内发生的工业和信息化领域数据安全事件应急处置活动。

《应急预案》要求，数据安全事件应急工作应当坚持统一领导、分级负责。坚持统一指挥、密切协同、快速反应、科学处置。坚持“谁管业务谁管业务数据、谁管数据安全”，落实数据处理者的数据安全主体责任。坚持充分发挥各方面力量，共同做好数据安全事件应急处置工作。

二

工信部、财政部、国家数据局联合部署建设新材料大数据中心

为深入贯彻党的二十届三中全会精神，充分发挥大数据、人工智能对新材料产业的技术支撑作用，工业和信息化部、财政部、国家数据局联合印发《新材料大数据中心总体建设方案》，计划到2027年，搭建形成“1+N”（1个中心主平台、N个数据资源节点）的新材料大数据中心架构体系，形成30个以上数据资源节点、30项以上材料大数据算法软件和工具、20种以上典型关键材料和产品的数据赋能应用示范；到2035年，新材料大数据中心体系全面建成并稳定运行，数据规模进入国际第一梯队。

新材料大数据中心定位为促进新材料产业创新发展的新型研发基础设施，旨在立足机制创新、协同创新、成果转化，构建新材料数据资源中心、数据产品研发中心、数据基础产品和定制化服务提供中心，主要功能为构建材料数据汇聚标准和融通平台、加强共性和前沿技术研究、开展材料数据软件产品开发应用、提供材料数据公益服务、加强材料基因领域创新人才队伍建设、推进材料数据和技术国际合作等。

《建设方案》明确了新材料大数据中心的建设任务，一是搭建新材料大数据中心架构体系。建立以公益性服务为主的中心主平台，统筹建门户、出标准、定规则；布局以商业化运营为主的数据资源节点，负责采数据、用数据、保质量。二是建立数据流通应用技术体系，包括标准规范体系、管理共享机制、数据安全保障体系。三是优化新材料大数据技术应用生态。着力研发关键技术和软件，开展重点领域应用示范，创新人才队伍建设和公益服务。

监管动态

一

某公司员工非法获取个人信息上亿条

近日，上海市杨浦区人民检察院通报了一起侵犯公民个人信息隐私案例。被告人吴某被法院以侵犯公民个人信息罪判处有期徒刑一年六个月，缓刑一年六个月，并处罚金人民币二千元。

吴某是某安全科技有限公司员工，2024年2月，通过翻墙软件违规访问境外Telegram平台，并在该软件“ling某”群的“资源共享”内下载含有公民个人信息的文件，储存在其持有的移动硬盘中，同时将上述下载渠道提供给他人。经鉴定，被告人吴某非法获取的公民个人信息共计1亿余条。

经杨浦区检察院提起公诉，检察机关表示，本案争议点之一在于通过境外网络平台下载公民个人信息的行为是否属于“非法获取”行为。经审查认为，侵犯公民个人信息罪中，对于“非法”的认定，可以将是否违反国家有关规定作为判断标准。根据《中华人民共和国计算机信息网络国际联网管理暂行规定》第六条第二款，任何单位和个人不得自行建立或者使用其他信道进行国际联网。吴某作为网络安全从业者，没有法律授权的对个人信息的收集、储存或使用的权利，也没有获得相关当事人的许可，其违反国家规定违规访问国际互联网的行为属于“非法获取”。吴某到案后曾辩解其下载前未打开具体文件夹，不知文件夹内系公民个人信息。承办检察官全面审查证据，把握案件细节，通过自行补充侦查，驳斥吴某的辩解。一方面，通过仔细审核涉案公民个人信息文件发现，相关文件夹名称为“**学籍”“身份证”“姓名 手机号码”等，从文件名即可以看出文件内系公民个人信息;另一方面，全面调阅吴某的手机微信聊天记录，发现其曾将数据截图发送给他人。据此认定吴某的辩解与客观证据明显不符。

二

香港发布网络安全新规，规定政务办公电脑禁止使用个人微信

近日消息，今年10月底开始，香港将禁止公务员在办公电脑上使用包括微信、WhatsApp Web和Google Drive在内的云存储及即时通讯服务。

10月22日，香港创新科技及工业局局长孙东在接受香港电台（RTHK）采访时表示，上述限制措施是为了应对过去一年中发生的严重数据安全事件而推出的。他指出，香港政府参考了美国和中国内地的相关法规。除了美国科技巨头Meta公司的WhatsApp外，孙东还提到了腾讯旗下社交媒体、通讯及支付应用微信，称其在政府使用的台式电脑上可能构成潜在的安全漏洞。他表示：“我们别无选择，目前的形势已经非常严峻，存在重大安全隐患。” 他补充道，相信香港政府各部门能够找到适应新规定的方法。

这一要求是在今年4月修订的《政府信息技术安全政策及指南》中提出的。紧接着在5月，不到一周的时间内，三个香港政府部门相继发生了数据安全事件。香港消防处报告的疑似数据泄露事件，是不到一周内涉及政府部门的第三起事件，前两起事件分别发生在机电工程署和公司注册处。

三

意大利国家安全数据库被攻击，总统、总理等高官隐私成为黑市商品

近日，意大利曝光了一起震惊全国的黑客丑闻，涉及对意大利内政部的国家安全数据库长期攻击，导致包括现任总统塞尔吉奥·马塔雷拉和前总理马泰奥·伦齐在内的数千名公众人物的个人隐私数据被泄露。目前，有四名嫌疑人被正式指控，还有数十人正在接受调查。

据报道，这起黑客行动由一家名为Equalize的私人调查公司策划，该公司由前高级警官卡尔米内·加洛运营。黑客通过贿赂警察获取敏感数据，在服务器上植入远程访问木马（RAT），并渗透负责维护内政部计算机系统的运维人员。这一黑客行动目前已持续了至少五年之久。

据了解，黑客在2019年到2024年3月期间，将获取的数据出售给客户或用于勒索受害者，从中获利超过310万欧元。卡拉穆奇在被窃听的对话中声称拥有来自警方系统数据库的80万个文件和15TB的数据。泄露的数据库包括可疑金融活动记录、私人银行交易追踪以及警察调查信息。受害者不仅包括政界人士，还涉及商界精英、媒体记者和娱乐明星等。前米兰市长莱蒂齐亚·莫拉蒂、AC米兰主席保罗·斯卡罗尼、三家顶级报纸的记者,以及流行歌手亚历克斯·布里蒂等都在受害名单中。

这起事件暴露了意大利国家安全数据库管理中的严重漏洞。法官法布里齐奥·菲利切在逮捕令中写道，嫌疑人几乎可以"控制整个国家"。多位政治领导人已呼吁调查内政部的安全松懈问题，并启动了事件彻查行动和工作组。

四

法国电信巨头遭黑客入侵，近2000万用户数据现身暗网

近日，法国第二大电信运营商Free遭遇严重网络攻击，大量用户个人信息疑似泄露。该公司目前拥有超过2290万移动和固定电话用户，在法国互联网服务市场占据重要地位。

Free公司10月26日向法新社确认，黑客成功入侵了公司的内部管理工具，导致部分用户账户相关的个人数据被未经授权访问。虽然公司声称密码、银行卡信息以及通信内容未受影响，但泄露的信息仍然包括了姓名、电话号码、完整邮寄地址、出生日期和电子邮件等敏感数据。

更令人担忧的是，黑客已经在一个知名的网络犯罪论坛上试图出售这些被盗数据。论坛上的信息显示，有两个待售数据库，一个包含近1920万个客户账户信息，另一个包括511万个IBAN（国际银行账号）详细信息。

Free公司表示目前尚未观察到其业务和服务运营受到影响，公司已经采取了一系列紧急应对措施，包括向有关部门提交刑事投诉，并通知了相关监管机构。

五

遭勒索攻击后，秘鲁国际银行承认数据泄露

近日，秘鲁最大的金融机构之一，秘鲁国际银行 （Interbank）承认遭勒索组织攻击，攻击者成功入侵其IT系统，并窃取了相关用户数据。泄露的数据包括客户的全名、账户ID、出生日期、地址、电话号码、电子邮件、信用卡信息及其他敏感信息。

秘鲁国际银行发布公告称，目前已确认黑客窃取了大量的用户数据，我们立即部署相应安全措施来保障用户的金融和信息安全。尽管该银行App在31日和前两周都发生过一次宕机情况，但银行表示中断后大部分操作已恢复在线，客户存款的安全性没有问题，并强调当安全调查工作完成后，银行所有的服务都将恢复运营。

尽管银行尚未披露在泄露中被盗或曝光的客户的确切数量，但Dark Web Informer发现，一个昵称为“kzoldyck”的勒索组织正在暗网上售卖，据称是从秘鲁国际银行系统中窃取的数据。该勒索组织称已经掌握了超过300万客户的信息，并上传了3.7TB的数据样本至暗网，其中包含很多内部API凭证、LDAP、Azure凭证等。

该勒索组织称前两周和秘鲁国际银行高层谈判，但最终银行选择不支付赎金。在勒索目标失败后，攻击者将数据放到暗网上售卖。这将会给客户带来了严重的隐私和安全风险，包括个人信息被盗用和财产损失的可能性。

六

RansomHub勒索软件盯上墨西哥航空业，OMA成为最新受害者

近日，墨西哥中北部机场集团（OMA）遭到RansomHub勒索软件组织攻击，引发网络安全界高度关注。OMA作为墨西哥重要的机场运营商，负责管理该国十多个机场，此次事件可能对墨西哥航空业造成重大影响。

据报道，RansomHub组织声称已成功入侵OMA的内部系统，并威胁称如果OMA拒绝支付赎金，将公开3TB的敏感数据，数据量之大暗示了此次攻击的严重程度和潜在影响。面对这一威胁，OMA目前还未直接确认RansomHub的入侵声明，但公司表示正与网络安全专家密切合作，以保护系统完整性并进行全面调查。同时，公司表示已启动备份系统，以确保北部和中部机场的正常运营。OMA强调，目前尚未发现此次事件对公司运营和财务状况造成重大不利影响，但正密切监控局势并评估可能的持续影响。

七

马克龙行踪被保镖泄漏，健身APP威胁全球政要和军方机密

近年来，科技进步推动了健身运动的数字化和社交化，各种功能丰富的健身应用（如Strava、Polar、咪咕等）深受用户喜爱。然而，鲜为人知的是，很多热门健身应用往往不经意间成为敏感信息的“漏点”，甚至给全球政要、军方以及情报部门带来重大安全隐患。

近日，据法国《世界报》报道，法国特勤局总统安全小组（GSPR）最近发生了严重的信息安全事故——法国总统马克龙的安保团队成员在Strava记录并公开分享个人锻炼路线，意外暴露了马克龙的实时物理位置，马克龙下榻的酒店、会议室和行程都可以通过这款应用实时追踪：该数据泄漏事件不仅威胁到马克龙的个人隐私，甚至可能被恶意组织用来策划实施“斩首攻击”。

八

法国第二大互联网服务商遭遇数据泄露，波及1900万用户

近日消息，法国主要互联网服务提供商 （ISP） Free 在上周末证实，稍早前有黑客入侵了其系统并窃取了用户的个人信息。

Free声称，这次攻击的目标是窃取用户数据的管理工具。但是，攻击者无法访问用户密码、银行卡信息和通信内容。另外，公司没有观察到黑客的攻击对服务和运营的影响，并立即采取了一切必要措施来加强对信息系统的保护。但这些被窃取的数据已经出现在了黑客论坛，在 BreachForums 上，这些数据正在被拍卖。被称为“drussellx”的黑客声称，该泄露影响了1920 万用户（约占法国近三分之一的人口），包含超过 511 万个 IBAN（国际银行账户）号码。这些被盗的数据还被展示出一个档案库，其中包含一些据称被盗的数据、截图和数据库标题，以显示这些数据的真实性。

关于被盗的 IBAN，Free 表示，黑客只能窃取某些固定用户的 IBAN，而且这些 IBAN不足以让黑客从中窃取到资金。如果用户发现不寻常的扣款，可以有13个月的时间报告遭遇了欺诈行为，银行有义务对资金进行偿还。

九

2024零售行业最大泄露事件，3.5亿数据被挂暗网

近日，以色列网络安全公司Hudson Rock发现一个据称包含3.5亿条Hot Topic顾客个人和支付数据的庞大数据库，在暗网上被公开出售。

名为Satanic的威胁组织发布了该订单，并声称数据库包括用户详细的个人信息，包括姓名、电子邮件地址、邮寄地址、出生日期、交易信息、信用卡信息、发票信息等等。Hudson Rock的研究人员对威胁组织提供的数据样本进行分析，发现主要来源于Hot Topic、Torrid和BoxLunch三家零售企业，他们都由快时尚集团Hot Topic创立并运营。并且，从现有的报道来看，Hot Topic集团在2023年和2024年分别披露了多起网络攻击事件。安全分析人员表示，此次在暗网上售卖的数据可能来源于此。

根据Satanic威胁组织发布的内容，泄露的数据库包括大量的支付细节信息，例如客户信用卡的最后四位数字、卡类型、哈希过期日期、账户持有人姓名等，甚至还有数十亿的与Hot Topic和Box Lunch公司相关的用户积分，并与个人资料标识符关联。Hudson Rock警告称，这将给用户带来严重安全隐患，例如这些积分可以被黑产用于账户接管，特别是很多积分还没有过期，再加上大量的个人信息、支付信息等，被用于身份盗窃、金融欺诈等安全事件的概率将大大增加。

虽然Hot Topic未对此事进行评价，但Hudson Rock认为该数据库的真实性非常高，Satanic 威胁组织以数据泄露大事件而闻名，且数据样本与声明一致。目前该威胁组织希望以2万美元的价格出售680GB的数据库，或者向Hot Topic勒索1万美元删除该帖子。

业界之声

一

全国数标委2024-2025年拟制修订重点标准项目清单

为发挥标准在规范数据基础设施建设、促进数据资源高质量供给、推动数据高效有序流通、引领数据技术迭代创新、形成多元数据融合应用新格局的基础和支撑作用，围绕数据治理、数据流通利用、数字化转型、数据技术、数据基础设施等重点领域，全国数据标准化技术委员会提出了2024—2025年拟制修订的37项重点标准项目。

全国数据标准化技术委员会

2024-2025年拟制修订的重点标准项目清单

二

全国数标委正式成立

近日，全国数据标准化技术委员会（简称“全国数标委”）成立大会暨第一次全体委员会议在京召开。全国数标委主要负责数据资源、数据技术、数据流通、智慧城市、数字化转型等基础通用标准，支撑数据流通利用的数据基础设施标准，以及保障数据流通利用的安全标准等领域国家标准制修订工作，由国家数据局负责日常管理和业务指导。

会议指出，要充分认识数据标准的重要性。数据标准是数据工作体系的重要组成部分，对于筑牢数据经济根基、激活数据潜能、释放数据价值、抢抓发展机遇、构筑数据领域国际竞争新优势具有重要作用。面对新形势新情况新要求，要守正出新、锐意进取，切实做好数据标准化工作，扎实开展数据标准建设。要着力构建数据标准化工作的良好生态，加强理论学习，加快标准制定，注重标准推广实践，密切团结专家，深化国际合作，把全国数标委建成共商合作、共促发展、共享成果的工作交流平台。要发挥人才荟萃、智力密集的优势，多出标准，出好标准，为数据标准化工作和我国数据事业发展贡献力量。

关于数安行

北京数安行科技有限公司以数据运营安全为理念，以AI人工智能技术为核心驱动，聚焦数据运营安全，助力数字化转型，致力于让用户的数据安全地创造价值。公司以承载和保护每一个用户的数据运营安全为愿景，持续创新，合作共赢，成就用户。公司核心团队拥有十余年网络安全与数据安全经验，服务于政府、军工、金融、运营商、互联网、教育、高端制造等各行业客户。

关于数据运营安全

数据运营安全（DataSecOps）核心是在数据运营中内嵌数据安全属性，解决数据运营过程中的数据安全问题，以一个产品或平台的方式运行。其目标是在不影响数据业务流程正常运行的情况下更有效的保护组织内的敏感数据资产，对敏感数据的扩散及滥用风险进行快速响应，将数据安全防护策略传递至参与数据运营的所有人员。