导语：随着数字化的深刻遍及，业务更加凋谢互联。企业的要害数据、用户信息、基础设施、经营过程等均处于边界含糊且日益凋谢的环境中，波及利益流和高附加值的业务面临多样的安全隐患，随时可能遭逢损失，进而影响企业经营和倒退。
一方面，业务安全隐患形式多样，在电商、领取、信贷、账户、交互、交易等状态的业务场景中，存在着各类等欺诈行为；另一方面，欺诈行为日益专业化、产业化，且具备团伙性、复杂性、隐蔽性和传染性等特点。
为了让大家更全面的理解业务平安的危险，顶象自 7 月起将针对每月的业务平安热点事件进行盘点总结。
国内安全热点
反电信网络欺骗法表决通过，12 月 1 日起实施
十三届全国人大常委会第三十六次会议 9 月 2 日表决通过反电信网络欺骗法，该法将于 2022 年 12 月 1 日起实施。反电信网络欺骗法共七章 50 条，包含总则、电信治理、金融治理、互联网治理、综合措施、法律责任、附则等，保持以人民为核心，兼顾倒退和平安，立足各环节、全链条防备治理电信网络欺骗，精准发力，为反电信网络欺骗工作提供无力法律撑持。
此外，草案三审稿还将减少更多规定，从而增强对老年人、青少年等群体的宣传教育，加强宣传教育的针对性、精准性；并要求要求无关行业企业对本畛域新呈现的电信网络欺骗伎俩及时向用户作出揭示。
西北工业大学遭网络攻击，攻打源头系美国国家安全局
9 月 5 日，据国家计算机病毒应急解决核心披露，西北工业大学遭网络攻击事件系美国国家安全局（NSA）所为。在针对该校的网络攻击中，NSA 应用了 40 余种专属网络攻击武器，继续发展攻打窃密，窃取该校要害网络设备配置、网管数据、运维数据等核心技术数据。
西北工业大学曾在 6 月 22 日公布申明，称蒙受境外网络攻击，学校师生收到蕴含木马程序的钓鱼邮件，希图窃取相干师生邮件数据和公民个人信息。随后，西安警方对该事件立案侦查。9 月 27 日，依据最新颁布的报告，美国网攻打西北工业大学一事裸露了美国对西北工业大学组织网络攻击的目标：浸透管制中国基础设施外围设施，窃取中国用户隐衷数据，入侵过程中还查问一批中国境内敏感身份人员，并将用户信息打包加密后经多级跳板回传至美国国家安全局总部。
中科大给师生们发了一封钓鱼邮件，后果 3000 多人受骗了
中科大为了晋升大家的网络安全意识，给 4 万名师生发了一封“钓鱼邮件”。内容就是学校定制的月饼礼盒供不应求，邮箱管理中心部门顺便洽购了一批，以抽奖的模式回馈给大家。当然，这种坏事外人必定享受不到，为了证实你是本人人，要填入身份信息。
这份邮件全副发放给中科大校内的师生，面对这份漏洞百出的邮件，有 3100 余位学生、400 余位教职工中招。依据中科大网络信息中心的回复，这次钓鱼演练中，还是有不少同学填写了集体实在信息，其中人数最多的是本科一年级新生，此次演练中招人数大大超过了校方预期。
知乎在用户截图中嵌入盲水印，专家示意如波及个人信息需提前告知
9 月 8 日音讯，近日，知乎被曝在 App 和网页端的用户截图中嵌入了盲水印，盲水印用肉眼难以分辨，须要在特定的图片显示成果下能力看到，经检测工具测试后，网友发现盲水印疑似包含用户 UID 等信息。图片显示成果下能力看到，经检测工具测试后，网友发现盲水印疑似包含用户 UID 等信息。
有知乎用户称，用户在桌面端能够应用 ublock 增加动态规定 zhihu.com##div:last-of-type [class*=”css-“] 打消水印。
值得一提的是，往年 2 月，豆瓣 App 也曾因给用户截图设置盲水印而引发热议。对此，豆瓣回应称这是新增的“小组内容防搬运性能”，小组组长能够在“小组治理 - 小组内容防搬运设置”开启或敞开，开启后，对该小组内容进行截图时，截图上将主动生成经加密的截图用户 ID、被截图帖子 ID、截图工夫等信息。
已开启该性能的小组，在小组帖子下方能够看到“内容出自 xxx 小组，该小组已开启防搬运性能”的提醒。据理解，局部企业也会在内网设置截图盲水印，避免员工泄露外部信息。
顶象重磅公布《人脸识别平安白皮书》
9 月 13 日，顶象公布《人脸识别平安白皮书》。该白皮书共有 8 章 73 节，系统对人脸识别的组成、人脸识别的外在缺点、人脸识别的潜在安全隐患、人脸识别威逼产生的起因、人脸识别平安保障思路、人脸识别平安解决方案、国家对人脸识别威逼的治理等进行了具体介绍及重点剖析。
《网络安全法》或迎来批改
9 月 14 日，国家网信办公布《对于批改〈中华人民共和国网络安全法〉的决定（征求意见稿）》，旨在进一步做好《中华人民共和国网络安全法》与相干法律的连接协调，欠缺法律责任制度，爱护集体、组织在网络空间的合法权益，保护国家平安和公共利益。
继北京衰弱宝后，澳门衰弱码又遭境外权势攻打
据《澳门日报》报道，去年 5 月初，澳门衰弱码间断蒙受境外网络攻击，重大影响珠澳出入境秩序。司警局局长薛仲明曾在公开采访中强调，澳门每天都受到大大小小的网络攻击，去年均匀每分钟约受到 3.4 次攻打。
近日，澳门特别行政区保安司司长黄少泽谈及调查结果时示意，对澳门衰弱码的持续性攻打多达 300 多万次，来自欧美地区。
信阳师范学院曝“学信网信息泄露”，学院：已报警，涉事学生干部被罢职
据国内多家媒体报道，9 月 19 日，河南省信阳师范学院被曝“学信网信息泄露”，导致不少学生三个月内不能享受购买苹果电脑、耳机等产品的优惠政策。依据信阳师范学院公布的通告，学校无关部门已于 9 月 19 日上午向信阳市五星乡派出所报案，并立案考察。
公安部网安局即日起发展“断号”口头，重拳打击整治网络账号黑产
9 月 23 日音讯，据央视报道，公安部网络安全保卫局自即日起至 12 月底部署发展“断号”口头，集中打击整治网络账号彩色产业链。据介绍，自 2019 年以来，公安网安部门共查处关停接码平台 140 余个，收缴手机黑卡 2200 余万张，查获网络黑账号 3 亿余个，获得阶段性显著功效。
在此次“断号”口头中，公安机关将进一步强化侦察打击，保持打平台、追源头、断链条，依法严厉打击各类歹意注册网络账号违法犯罪行为。
官网部门将进一步强化行业整治，督促互联网企业落实主体责任，被动辨认处理歹意注册、非法销售应用的网络账号，组织互联网企业对发现的网络黑号发展从新核验。
男子玩羊了个羊被骗 9 万元：弹窗广告有陷阱
据媒体报道，近日，江苏常州严女士在玩“羊了个羊”游戏时，为了获取道具观看广告。有资金需要的她正好看到一个贷款广告，便按指引下载并注册了一款贷款软件。她见软件显示有余额，为了提现就依照客服指引累计转账 9 万元，之后意识到被骗。
国外平安热点
GitHub 用户留神，网络钓鱼流动假冒 CircleCI 窃取凭证
9 月 26 日音讯，GitHub 正告称，有网络钓鱼流动假冒 CircleCI DevOps 平台，瞄准 GitHub 用户窃取证书和双因素身份验证（2FA）代码。GitHub 自 9 月 16 日发现该流动，钓鱼信息宣称用户的 CircleCI 会话已过期，试图疏导用户应用 GitHub 凭据登录。
点击钓鱼链接会跳转到一个相似 GitHub 登录页面的钓鱼网站，用户输出任何凭据都会被窃取用户输出的任何凭证。对于启用了基于 TOTP 的双因素认证（2FA）的用户，钓鱼网站还会将 TOTP 代码实时转发给威逼行为者和 GitHub，以便威逼行为者侵入账户。
GitHub 指出，受硬件安全密钥爱护的帐户不容易受到这种攻打。
俄罗斯流媒体巨头遭歹意攻打，210 万中国用户数据泄露
9 月 1 日音讯，俄罗斯流媒体巨头 START 在上周日示意，其客户的个人信息在一次网络攻击中被泄露。该公司没有走漏具体有多少用户受到此次事件的影响，但依据俄罗斯 Telegram 频道“Information Leaks”的信息（该频道率先颁布了此次事件，并附上一张据称为泄露信息的截图），泄露数据库总计 72 GB 大小，蕴含 4400 万客户的数据（据后续剖析，该数据内蕴含 745 万个惟一电子邮箱，这可能更靠近受影响用户的实在数量）。
此次泄露的信息包含用户名、电子邮件地址、哈希明码、IP 地址、用户注册国家、订阅起始及完结日期，以及最初一次登录记录。据称，这起数据泄露事件曾经影响到寰球观众，包含俄罗斯外乡的 2460 万用户、哈萨克斯坦的 230 万用户、中国的 210 万用户及乌克兰的 170 万用户。
为防钓鱼，Win11 新版本在记事本、网站中输出明码时会收回正告
据 Bleeping Computer 网站音讯，刚刚公布的 Windows 11 22H2 版本附带了一项名为加强网络钓鱼防护的新平安性能，当用户在不平安的应用程序或网站上输出 Windows 明码时会收回正告。
在既往的钓鱼攻打中，Windows 登录凭证往往是高价值指标，凭借这些账号，攻击者可能拜访外部公司网络以进行数据偷盗或勒索软件攻打。
这些明码通常是通过网络钓鱼攻打或用户将明码保留在不平安的应用程序（如文字处理器、文本编辑器和电子表格）中取得。
甚至在某些状况下，在网络钓鱼登录表单中输出了明码，即便没有提交，也会被攻击者胜利窃取。尽管在 Windows 11 22H2 中默认启用网络钓鱼防护，但爱护明码的选项须要手动开启。
用户须要在开始 > 设置 > 隐衷和平安 > Windows 平安 > 利用和浏览器管制 > 基于信用的爱护中进行设置，这时用户将看到别离标有“正告我明码重用”和“正告我明码存储不平安”两种选项，都启用后，当用户在一个网站上输出 Windows 明码时，会提醒“明码重用”的正告，无论它是一个钓鱼网站还是一个非法网站；而当用户在记事本、写字板和 Microsoft Office 等应用程序中输出明码并按回车键时，会提醒 ” 明码存储不平安 “ 的正告。
借悼念伊丽莎白二世女王之名，攻击者发动大规模网络钓鱼攻打
9 月 8 日，英国传奇女王伊丽莎白二世在苏格兰巴尔莫勒尔城堡逝世，享年 96 岁。2015 年，她成为历史上在位工夫最长的英国君主，突破了她的曾曾祖母维多利亚女王创下的纪录。
就在大家哀悼女王之际，Proofpoint 平安钻研人员却发现，毫无底线的攻击者假借悼念之名，行网络攻击之实，以“女王逝世”、“哀悼女王”等为钓饵的网络钓鱼攻打出现持续上升的趋势，其目标是从受害者那里窃取 Microsoft 帐户和明码。
攻击者施行网络钓鱼攻打的具体做法是，向用户发送一封带有歹意链接的电子邮件，邮件以 Microsoft 团队的名义收回，粗心是微软现正在推出一款名为“伊丽莎白将记忆板”的产品，以此缅怀这位传奇女王。在这里将汇聚来自寰球的各种悼念信息，包含单词、邮件、相片等。
如果用户也想参加悼念流动，点击链接登录微软账户即可。很显著，这是一个虚伪歹意的钓鱼链接，重定向的域名并没有让用户提交悼念文本，而是忽悠受害者先输出其微软账号的登录面、以及多因素身份验证（MFA）等私密信息。一旦这些敏感的信息被攻击者获取，势必会对用户带来重大的影响，甚至是以用户之名进行二次网络钓鱼攻打。
数万人正在 YouTube 上被假苹果直播间骗钱
9 月 8 日音讯，今日凌晨，苹果 iPhone 14 / Pro 及多款配件在新品发布会上亮相。正当数码爱好者们的眼光集中到苹果的直播间时，却有数万人被其余假的苹果直播间忽悠了过来。
据 The Verge 报道，今日凌晨，YouTube 上有人在直播对苹果 CEO 蒂姆・库克的旧采访，该采访仿佛被用来吸引人们参加加密货币骗局。
报道称，这些直播通过在题目和形容中应用一系列苹果关键字来引起关注，比方“苹果发布会直播，库克：2022 年的苹果和元宇宙”。然而当你真正关上它时，直播间却充斥了奇怪的信息，并链接到一个看起来很明朗的加密货币网站。