六方云 安全态势周刊丨第254期

1、星巴克等三家餐饮企业因过度收集个人信息被约谈

近日，“亮剑浦江·消费领域个人信息权益保护专项执法行动”启动后，根据消费者举报线索，上海市网信办、市市场监管局执法人员分两路对星巴克、Shake Shack、天泰餐厅开展现场执法。三家餐饮企业存在频繁诱导索取用户手机号、诱导消费者提供精准位置信息、频繁弹窗诱导注册会员、诱导消费者关注公众号等问题。

https://china.cnr.cn/gdgg/20230622/t20230622_526298581.shtml

2、通过手机号算出使用者的现实位置，几乎零成本

安全内参6月20日消息，一个大学研究团队发表论文，提出了新型侧信道攻击方法“离奇泄密短信（Freaky Leaky SMS）”，可根据短信送达报告的时间推断接收者的现实位置。短信送达报告由移动网络的短信服务中心（SMSC）处理，通知用户短信是否已传送、被接受、发送失败、无法送达、已过期或被拒绝。虽然这个过程涉及路由、网络节点传播和处理延迟，但移动网络的固定性质和特定物理特征决定了短信送达报告在标准信号路径的传播时间具有可预测性。

https://www.bleepingcomputer.com/news/security/sms-delivery-reports-can-be-used-to-infer-recipients-location/、https://arxiv.org/abs/2306.07695

3、执法行动PowerOff捣毁2013年开始活跃的DDoS出租服务

国际执法行动Operation PowerOFF捣毁了自2013年开始活跃的DDoS出租服务 (又称booter或stresser)。DDoS出租（DDoS-for-hire）服务允许注册用户在不具备特定知识的情况下执行有序的DDoS攻击。据悉，波兰警方逮捕了该平台的两名运营人员，并从他们位于瑞士的服务器中收集到了有价值的数据。有超过35000个用户帐户、76000个登录记录和超过320000个与DDoS出租服务相关的IP地址的信息。Operation PowerOFF是一项长期执行的执法行动，已关闭了数十个主要的DDoS出租平台。

https://securityaffairs.com/147564/cyber-crime/ddos-for-eye-service-seized.html

1、《工业互联网专项工作组2023年工作计划》

工业互联网专项工作组办公室印发《工业互联网专项工作组2023年工作计划》。计划要求，开展平台体系壮大行动。一是推动工业互联网平台在企业、园区、产业集群应用推广。二是强化平台设施建设，遴选跨行业跨领域综合型、面向重点行业和区域的特色型、面向特定技术领域的专业型工业互联网平台。三是加快工业设备和业务系统上云上平台，加速已有工业软件云化迁移。四是加快推进工业设备数据字典标准研制与推广应用。五是研制分类型工业互联网平台供应商能力画像，推动平台与用户需求对接与适配。

https://www.miit.gov.cn/jgsj/xgj/gzdt/art/2023/art_747f4c19cd484676aa3f7583e25bb57a.html

1、厦门一公司系统被攻击，超百万条用户信息泄露且遭黑产滥用

近期，厦门市公安局网安支队联合思明分局横跨4省市，成功打掉一个集黑客攻击、数据清洗、买卖信息、提供资金、数据使用等为一体的全链条网络犯罪团伙，破获某公司被侵犯公民个人信息案，抓获犯罪嫌疑人7名，查获非法获取的公民个人信息100万余条。

https://www.secrss.com/articles/55915

2、衡阳某医院数据保护不力造成泄露，当地网信办开出6.2万元罚单

近日，衡南县网信办在省、市网信办的指导下，对违反《数据安全法》的相关单位及责任人作出行政处罚。据悉，这是衡阳市县级网信部门开出的首张“罚单”，也是衡阳网信部门在数据安全领域开出的首张“罚单”。

https://baijiahao.baidu.com/s?id=1769190294392353083

3、零日漏洞击穿防线，美国近百家大型政企遭勒索

安全内参6月19日消息，美国官员15日称，俄罗斯勒索软件组织Clop利用MOVEit文件传输软件的零日漏洞发动攻击，窃取并高价售卖美国能源部在内的多个联邦机构用户数据。

https://www.nytimes.com/2023/06/15/us/politics/russian-ransomware-cyberattack-clop-moveit.html