网安周讯 | 以国家安全风险为由，又一国家“封禁”TikTok（十一月第2期 ）

【网安周讯，每周精选全球网安热点资讯。网安加社区安全员安仔带您洞悉全球安全趋势脉搏，直击网安时事前沿，掌握网络威胁最新动态，深挖防护策略精髓，共同守护我们的数字疆土。】

1.加拿大“封禁”TikTok业务

加拿大政府以国家安全风险为由，下令字节跳动公司旗下的TikTok关闭在加拿大的业务，但强调此决定并未禁止民众使用TikTok，也未限制加拿大用户创作内容，个人选择使用社交媒体的权利依然被尊重。TikTok此前已在包括印度、美国、澳大利亚在内的多个国家遭遇封禁或审查。【阅读原文】

2.美国知名军工芯片厂商因勒索攻击损失超1.5亿元

美国著名军工半导体企业微芯科技披露，其在8月份遭受勒索软件攻击，因拒绝支付赎金，黑客公开了一个4GB的压缩数据包，宣称内含微芯科技的敏感内部信息，覆盖个人身份信息、客户档案以及涉及预算、薪资、会计、合同、税务和财务等关键领域。据该公司财务报告显示，此次事件带来了高达2140万美元（折合人民币约1.53亿元）的经济损失。【阅读原文】‍

3.攻击者利用ZIP串联文件传播恶意软件

网络犯罪分子正利用一种被称为ZIP串联文件的复杂规避策略，专门针对Windows用户传播恶意软件。此策略将多个ZIP文件整合为一个存档，利用不同ZIP阅读器处理此类文件的差异性，在文档中隐藏恶意载荷，以此绕过众多常规安全软件的检测机制，极大地增加了恶意内容被识别的难度。【阅读原文】‍

4.电子游戏巨头EA被曝安全漏洞

安全研究人员披露了电子游戏巨头 Electronic Arts（EA）帐户系统存在的安全漏洞，该漏洞使得未经授权者能够轻易访问任何EA用户的账户，包括用户的游戏统计数据。EA在全球范围内拥有约7亿用户，黑客一旦利用此漏洞，便可盗取用户名及游戏数据，并通过迁移Xbox角色至受害者账户的方式，非法登录并控制他人的游戏账户。【阅读原文】‍

5.谷歌云强制实施多因素身份验证

谷歌公司宣布，将于2025年底前对所有谷歌云账户强制实施多因素身份验证（MFA），以增强账户安全性。此举措将分阶段逐步开展，减少对企业及用户的影响。为确保顺利过渡，谷歌云将提前发出通知，协助用户规划MFA部署。此措施仅针对谷歌云账户，不影响非谷歌云服务的普通谷歌账户。【阅读原文】‍

6.施耐德电气泄露40GB数据

施耐德电气内部位于隔离环境的JIRA服务器遭到入侵，攻击者声称通过暴露凭证访问，并窃取了大量敏感数据，涵盖项目、问题记录、插件数据，以及超过40万行用户数据，总计超过40GB的压缩数据。攻击者甚至在暗网上以戏谑口吻提出勒索要求，要求支付价值12.5万美元的“法棍面包”赎金，否则将公开这些数据。【阅读原文】‍

7.谷歌AI大模型首次发现零日漏洞

谷歌公司宣布旗下一款名为“ Big Sleep”的大语言模型辅助框架，在SQLite开源数据库引擎中成功识别出一个零日漏洞，并称这是该类型AI工具首次在实际广泛使用的软件中发现零日漏洞。【阅读原文】‍

8.网络安全就业市场进入寒冬

2024年网络安全领域的招聘职位数量六年来首次停滞不前，全球范围内同比微幅增长0.1%，显著低于2023年的8.7%。预算不足是2024年网络安全人才短缺的首要原因，据预测，未来网络安全人才短缺、技能不足、满意度下降等情况将持续恶化。【阅读原文】‍

9.黑客窃取诺基亚内部数据并出售

一黑客声称通过第三方承包商非法访问了电信巨头诺基亚的敏感信息，并在论坛上标价2万美元出售这些信息，内容涵盖SSH密钥、源代码、RSA密钥、Bitbucket登录信息、SMTP账户、webhook和硬编码凭据等关键数据。尽管黑客声称未获取任何客户信息，但诺基亚内部数据的外泄仍潜藏着重大风险。目前诺基亚已确认并正积极调查这一事件。【阅读原文】‍

10.买机票被拼团泄露个人隐私

网友反映在第三方平台预订机票后，登录航司APP发现账号被“拼团”购买特价产品，而自己原价买票却未享受优惠，账户还关联了陌生人的信息，包含身份证号、手机号等隐私。涉事航司回应称，这是第三方代理商或在线旅行社未经允许，擅自使用旅客信息注册会员、购票赚取差价。【阅读原文】‍

11.德国大型药品批发商遭勒索攻击

德国大型药品批发企业AEP披露，其部分IT系统遭到黑客加密攻击。为应对此次事件，AEP隔离了所有外部连接并关闭了所有受影响的IT系统。这一系列措施导致AEP目前无法处理订单，进而造成供应链中断，仅能向药店提供有限范围内的供货。【阅读原文】‍

12.犯罪分子伪装任天堂公司发送钓鱼邮件

网络犯罪分子伪装成任天堂公司官方，向用户发送钓鱼邮件进行不法活动。任天堂公司警告，这类邮件企图诱骗收件人通过未经官方授权的特殊渠道进行购买操作，这将可能导致财产损失或个人身份被盗用，任天堂呼吁广大用户保持警惕，仔细甄别邮件真伪。【阅读原文】‍

13.“修狗”新型网络钓鱼工具包曝光

一种名为“修狗”的新型网络钓鱼工具包正瞄准美国、日本及英国等多个国家，针对公共部门、邮政系统、数字服务及银行业等关键领域，通过模仿合法服务来非法采集数据。目前，该工具包已被部署在超过2000个的钓鱼网站上，用来实施涉及政府支付流程及邮政服务等的诈骗活动。【阅读原文】‍

【网安加社区搜集整理，以上信息均来自互联网】