9月5日，2022年國家網(wǎng)絡(luò)安全宣傳周啟動，來自國家計(jì)算機(jī)病毒應(yīng)急處理中心和360發(fā)布的調(diào)查報(bào)告顯示，美國國家安全局(NSA)下屬的特定入侵行動辦公室(TAO)多年來對我國國內(nèi)的網(wǎng)絡(luò)目標(biāo)實(shí)施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了相關(guān)網(wǎng)絡(luò)設(shè)備，疑似竊取了高價(jià)值數(shù)據(jù)，其中就包括4月對西北工業(yè)大學(xué)(以下簡稱“西工大”)的網(wǎng)絡(luò)攻擊。近年來，國家針對個(gè)人信息保護(hù)和政企網(wǎng)絡(luò)安全保護(hù)出臺了多部法律法規(guī)，倡導(dǎo)全民關(guān)注。面對看不見的網(wǎng)絡(luò)安全防線，普通用戶應(yīng)該如何保護(hù)個(gè)人信息，除了要關(guān)注傳統(tǒng)的電信、網(wǎng)絡(luò)安全保護(hù)，還有哪些場景存在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)？
國家網(wǎng)絡(luò)安全宣傳周啟動
9月5日-11日，中央宣布部、中央網(wǎng)信辦等聯(lián)合在全國范圍內(nèi)統(tǒng)一舉辦2022年國家網(wǎng)絡(luò)安全宣傳周，主題是“網(wǎng)絡(luò)安全為人民，網(wǎng)絡(luò)安全靠人民”。安全周期間，全國各省(區(qū)、市)統(tǒng)一組織本行政區(qū)內(nèi)的網(wǎng)絡(luò)安全宣傳周活動，各有關(guān)中央部門、人民團(tuán)體組織指導(dǎo)本系統(tǒng)本行業(yè)的活動，其中包括網(wǎng)絡(luò)安全教育云課堂、網(wǎng)絡(luò)安全賽事、網(wǎng)絡(luò)安全進(jìn)基層，另外，網(wǎng)安周期間還將安排校園日、電信日、法治日、金融日、青少年日、個(gè)人信息保護(hù)日等主題日活動。
【資料圖】
國家網(wǎng)絡(luò)安全宣傳周啟動當(dāng)天，相關(guān)話題均登上微博、百度熱搜。當(dāng)天掛在熱搜上的還有西工大遭網(wǎng)絡(luò)安全攻擊事件。
根據(jù)360等發(fā)布的“關(guān)于西工大發(fā)現(xiàn)美國NSA網(wǎng)絡(luò)攻擊調(diào)查報(bào)告”，6月22日，西工大發(fā)布《公開聲明》稱，該校遭受境外網(wǎng)絡(luò)攻擊。陜西省西安市公安局碑林分局隨即發(fā)布《警情通報(bào)》，證實(shí)在西工大的信息網(wǎng)絡(luò)中發(fā)現(xiàn)了多款源于境外的木馬程序樣本，西安警方已對此正式立案調(diào)查。初步判明相關(guān)攻擊活動源自美國(NSA)的TAO。
“360主要通過多年積累的海量安全大數(shù)據(jù)，以及獨(dú)立捕獲大量高級復(fù)雜的攻擊程序樣本，對美國NSA攻擊事件進(jìn)行了追蹤分析，還原了相關(guān)攻擊事件的總體概貌、技術(shù)特征、攻擊武器、攻擊路徑和攻擊源頭”，360安全專家邊亮告訴北京商報(bào)記者。
調(diào)查發(fā)現(xiàn)，近年，美國NSA下屬TAO對中國國內(nèi)的網(wǎng)絡(luò)目標(biāo)實(shí)施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了數(shù)以萬計(jì)的網(wǎng)絡(luò)設(shè)備，包括：網(wǎng)絡(luò)服務(wù)器、上網(wǎng)終端、網(wǎng)絡(luò)交換機(jī)、電話交換機(jī)、路由器、防火墻等，竊取了超過140GB的高價(jià)值數(shù)據(jù)。
網(wǎng)絡(luò)攻擊事件非個(gè)例
對于西工大遭到美國國家安全局網(wǎng)絡(luò)攻擊一事，外交部發(fā)言人在9月5日舉行的中國外交部例行記者會上表示，中方對此強(qiáng)烈譴責(zé)。美國應(yīng)立即停止對他國進(jìn)行竊密和攻擊，為維護(hù)網(wǎng)絡(luò)安全作出建設(shè)性作用。外交部發(fā)言人毛寧指出，中方堅(jiān)決反對任何形式的網(wǎng)絡(luò)攻擊。維護(hù)網(wǎng)絡(luò)安全是國際社會共同責(zé)任，愿同國際社會一道，攜手構(gòu)建網(wǎng)絡(luò)空間命運(yùn)共同體。
根據(jù)調(diào)查報(bào)告，美國NSA還利用其控制的網(wǎng)絡(luò)攻擊武器平臺、“零日漏洞”(0day)和網(wǎng)絡(luò)設(shè)備，長期對中國的手機(jī)用戶進(jìn)行無差別的語音監(jiān)聽，非法竊取手機(jī)用戶的短信內(nèi)容，并對其進(jìn)行無線定位。
事實(shí)上，2020年360曾公開披露，美國中央情報(bào)局CIA攻擊組織(APT-C-39)對我國進(jìn)行長達(dá)十一年的網(wǎng)絡(luò)攻擊滲透。在此期間，我國航空航天、科研機(jī)構(gòu)、石油行業(yè)、大型互聯(lián)網(wǎng)公司以及政府機(jī)構(gòu)等多個(gè)單位均遭到不同程度的攻擊。
2022年3月，360獨(dú)家披露了美國國家安全局NSA(APT-C-40)為達(dá)到美國政府情報(bào)收集目的，針對全球發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊，其中我國是NSA組織的重點(diǎn)攻擊目標(biāo)之一。攻擊對象包括政府、金融、科研院所、軍工、航空航天、醫(yī)療行業(yè)等重要基礎(chǔ)設(shè)施，潛伏滲透的時(shí)間長達(dá)近十年。
邊亮告訴北京商報(bào)記者，“截至今年，360已累計(jì)發(fā)現(xiàn)了50個(gè)其他國家背景的APT(高級持續(xù)性威脅)組織，監(jiān)測到5200多起針對中國的國家級網(wǎng)絡(luò)攻擊行為。2022年上半年，360捕獲到對中國地區(qū)發(fā)起攻擊涉及的組織12個(gè)”。
個(gè)人信息安全保護(hù)口訣：會識別、關(guān)權(quán)限、安裝反詐App
由于越來越多的網(wǎng)站、App要求用戶必須實(shí)名注冊和登錄，這使普通網(wǎng)民對個(gè)人信息安全保護(hù)的關(guān)注度越來越高。
國家相關(guān)部門也已發(fā)布《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等多項(xiàng)法律法規(guī)。自2021年11月1日施行《個(gè)人信息保護(hù)法》規(guī)定，在取得個(gè)人的同意；為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需；為履行法定職責(zé)或者法定義務(wù)所必需等情況下，個(gè)人信息處理者方可處理個(gè)人信息?；趥€(gè)人同意處理個(gè)人信息的，個(gè)人有權(quán)撤回其同意。個(gè)人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式。
作為普通用戶，應(yīng)該怎樣防范不必要的個(gè)人信息泄露？奇安信行業(yè)安全研究中心主任裴智勇向北京商報(bào)記者總結(jié)了三項(xiàng)能力：“一是要掌握一定的詐騙信息識別能力，努力避免通過電話、短信、郵件、社交軟件或釣魚網(wǎng)站，向陌生人泄露自己的個(gè)人信息；二是要學(xué)會使用智能手機(jī)的權(quán)限管理功能，關(guān)閉App非必要的個(gè)人信息獲取權(quán)限，最大限度地保護(hù)個(gè)人信息不被商家過度獲??；三是安裝國家反詐中心App或全民反詐App，安裝手機(jī)安全軟件，減少惡意軟件或詐騙電話攻擊的風(fēng)險(xiǎn)”。
作為政企機(jī)構(gòu)，特別是經(jīng)營業(yè)務(wù)本身涉及大量公民個(gè)人信息的政企機(jī)構(gòu)，如互聯(lián)網(wǎng)企業(yè)、有關(guān)政府部門、社會組織，以及金融、能源等社會服務(wù)型行業(yè)機(jī)構(gòu)，裴智勇的建議是：“需要把用戶的或服務(wù)管理對象的個(gè)人信息保護(hù)工作，作為網(wǎng)絡(luò)安全工作的重點(diǎn)來抓，從業(yè)務(wù)設(shè)計(jì)、系統(tǒng)開發(fā)、數(shù)據(jù)梳理等多個(gè)方面，全面加強(qiáng)數(shù)據(jù)安全的建設(shè)與運(yùn)維，既要防外賊，又要防內(nèi)窺；既要防泄露，又要防勒索；既要做好數(shù)據(jù)加密，又要做好數(shù)據(jù)災(zāi)備?！?/p>
那些網(wǎng)絡(luò)安全風(fēng)險(xiǎn)新場景
除了從攻擊對象出發(fā)關(guān)注網(wǎng)絡(luò)安全問題，網(wǎng)絡(luò)安全場景也有新的變化，其中智能汽車安全是個(gè)典型。
根據(jù)相關(guān)數(shù)據(jù)，2016年到2020年，全球圍繞汽車網(wǎng)絡(luò)安全方面發(fā)生的事件數(shù)量增長了近10倍，IDC數(shù)據(jù)顯示，2020年全球智能網(wǎng)聯(lián)汽車出貨量4440萬輛，到2024年全球智能網(wǎng)聯(lián)汽車出貨量將達(dá)到約7620萬輛，全球出貨的新車中超過71%將搭載智能網(wǎng)聯(lián)系統(tǒng)。2021年特斯拉全球服務(wù)器宕機(jī)導(dǎo)致車主無法通過App 解鎖車輛事件，將智能汽車網(wǎng)絡(luò)安全問題推上風(fēng)口浪尖。
一般來說，車主通過鑰匙、手機(jī)App即可進(jìn)行車輛解鎖、遠(yuǎn)程啟動等操作。但安恒信息研究人員發(fā)現(xiàn)，通過破解，只要知道這個(gè)車架號，即可獲取車輛的控制權(quán)限，在不需要鑰匙的情況下，即可開關(guān)車門、開關(guān)后備箱等。
安恒信息總經(jīng)理吳卓群告訴北京商報(bào)記者，“車輛被控制后，可以在不知情的情況下安裝惡意程序。不法分子可以植入一個(gè)惡意二維碼，冒充綁定系統(tǒng)。一旦不小心掃碼，就會泄露手機(jī)號碼等個(gè)人信息”。
以行車記錄儀為例，行車記錄儀具備錄音、錄像等功能，也存儲著大量隱私數(shù)據(jù)。安恒信息研究人員發(fā)現(xiàn)，部分行車記錄儀也存在著漏洞，行車記錄儀在啟動時(shí)會釋放一個(gè)WiFi熱點(diǎn)(默認(rèn)無密碼)，當(dāng)該熱點(diǎn)被惡意攻擊者接入時(shí)，就可以訪問行車記錄儀的一些服務(wù)。按正常流程這些服務(wù)需要獲取到行車記錄儀的授權(quán)(如登錄賬號密碼或App認(rèn)證)才可以訪問，但惡意攻擊者可以通過行車記錄儀的安全漏洞進(jìn)行未授權(quán)訪問，查看當(dāng)前行車記錄儀的實(shí)時(shí)視頻，還可以獲取行車記錄儀系統(tǒng)內(nèi)部存儲的歷史視頻，比如行車軌跡、甚至于車內(nèi)交流的聲音等等，危害到行車記錄儀車主的個(gè)人隱私。
針對車聯(lián)網(wǎng)存在的安全風(fēng)險(xiǎn)，吳卓群向車主建議：“1、要及時(shí)進(jìn)行系統(tǒng)更新；2、不使用時(shí)，盡量關(guān)閉電源，關(guān)閉不必要的藍(lán)牙、WiFi等功能，設(shè)置強(qiáng)密碼并定期修改密碼。我們也呼吁車企，能夠加強(qiáng)車主的數(shù)據(jù)安全保護(hù)。”
（文章來源：北京商報(bào)）
標(biāo)簽： 網(wǎng)絡(luò)安全
