【一周安全资讯0716】券商首单网络安全事件双罚！招商证券及3位责任人被警示？

　　近期，知名市场研究机构Juniper Research发布了一项新的研究，该研究表明，未来五年，全球在线支付造成的总损失将超过3430亿美元，其中造成数据大幅上涨的主要原因在于欺诈者在账户接管欺诈和身份盗窃等领域的创新，尽管身份验证措施已经被广泛使用，但仍然无法阻止身份盗窃、账户接管欺诈等事件的发生。在Juniper Research的研究中，在线支付欺诈的目标通常包括数字商品、实物商品、汇款交易和银行业务等，欺诈者的攻击手段包括网络钓鱼、商业电子邮件泄露和社会工程欺诈等。该研究还发现，为了打击日益增长的欺诈行为，一些预防欺诈的供应商必须安排安全有效的验证工具组合，来最大程度的保护客户的账户安全。然而要实现这项工作，就比较考验供应商的能力了。瞻博网络研究部研究主管Nick Maynard说：从根本上说，没有两笔在线交易是相同的，因此交易的安全方式不能遵循一刀切的解决方案。支付欺诈检测和预防供应商必须建立多种验证功能，并根据情况智能地编排不同的解决方案，以正确保护商家和用户。该研究将实物购买归类为最大的单一损失来源，预计这将占未来五年全球累计在线%。在发展中的市场，地址验证过程不严也是一个主要的欺诈风险，欺诈者特别针对实体商品，因为它们有转售潜力。

　　【调查：智慧工厂未做好网络攻击应对准备】经营智慧工厂的企业大多认可网络安全是其运营中不可或缺的一环。然而，技术和数字转型咨询服务提供商Capgemini日前发布的一份报告表明，许多智慧工厂经营企业并没有准备好应对越来越多针对性网络威胁。报告基于针对全球950家企业的调查，发现80%的受访企业认同网络安全是智慧工厂运营的关键组成部分，同时，超过半数（51%）的受访企业承认未来12个月里网络攻击数量可能会增加，而自身目前的准备水平还很低。诸多受访企业高管表示，他们无法有效响应自家智慧工厂和制造场所的网络攻击。此外，很多企业称，为检测和防止入侵企图，自家网络安全分析师被必须跟踪的大量运营技术（OT）和工业物联网（IIoT）设备捆住了手脚。报告指出，考虑到最近智慧工厂联网设备的数量飞速增长，这个问题只会越来越严重，尤其是在2025年IIoT连接数量预计将达370亿之巨的情况下。Capgemini报告称，针对智慧工厂的网络攻击似乎不受疫情和经济衰退的影响，过去12个月里，73%的受访企业遭受了网络攻击。重工业企业的智慧工厂受网络攻击的影响最大（58%），其次是制药和生命科学公司（44%）。

　　【Gartner发布当前至2024年的五大隐私趋势】根据Gartner的研究，随着全球隐私法规数量的不断增加，企业机构应关注五项重大隐私趋势，以应对保护个人数据和遵守监管要求方面的挑战。Gartner研究副总裁Nader Henein表示：根据Gartner的预测，到2024年末，全球75%人口的个人数据将得到现代隐私法规的保护。这一监管方面的进步已成为推动企业机构加强隐私保护的主要动力。由于多数企业机构尚未形成专门的隐私保护实践，隐私保护责任落到了技术人员身上，更确切地说，落到了首席信息安全官所领导的安全团队身上。未来两年，几十个司法管辖区将陆续实施隐私法规，因此许多企业机构认为有必要马上启动隐私工作计划。根据Gartner的预测，到2024年，大型企业机构的年均隐私预算将超过250万美元。Gartner发布了当前到2024年的五大隐私趋势，能够推动企业机构形成和完善隐私保护实践。在企业机构内部，各个业务领域的领导者应积极传播这些趋势，从而更容易达成共识、创造更大价值并显著缩短价值实现时间。五大隐私趋势分别是：数据本地化、隐私增强计算技术、AI治理、集中式隐私用户体验以及远程模式进化为万物皆混合。

　　【风暴旋涡中的Twitter遭遇史上最长最严重的服务中断】综合互联网消息，全球数以千计的Twitter用户报告在桌面和移动设备上连接到该平台时遇到问题。CNN援引Down Detector的监测数据称，Twitter在当地时间7月14日早上遭遇了一次重大中断，数以万计的用户在使用该社交媒体网站时报告了问题。追踪互联网中断的Down Detector数据显示，服务中断的报告似乎在美国东部时间上午8:00左右开始激增。到上午9:00，许多用户似乎已恢复服务。本次中断是Twitter多年来最长、最严重的一次事故。虽然Twitter API状态页面当地时间7月14日没有显示任何问题，但在过去30分钟内，近55,000名用户报告说该服务无法正常工作。Bleepingcomputer最早发布消息时，Twitter应用程序的浏览器版本显示典型的出了点问题，但不要担心这不是你的错错误。目前，具体中断背后的问题仍不清楚，但它阻止了用户检索或发布推文，以及重新登录其帐户的问题。Twitter公司在当地时间14日上午9点10分发推文说，你们中的一些人在访问Twitter时遇到了问题，我们正在努力让它恢复并为每个人运行，感谢您坚持使用我们。据该公司称，该问题是由Twitter内部系统的问题引起的。我们回来了！ 该公司在美国东部时间下午12点37分在推文中写道。Twitter应该按预期启动并运行抱歉打扰了。

　　【券商首单网络安全事件双罚！招商证券及3位责任人被警示】7月12日消息，因存系统设计与升级变更未经充分论证和测试等问题，招商证券股份有限公司及3名责任人被中国证监会出具警示函。中国证监会指出，经查发现，招商证券在2022年5月16日的网络安全事件中，存在系统设计与升级变更未经充分论证和测试，升级回退方案不完备等问题，反映出公司内部管理存在漏洞、权责分配机制不完善。中国证监会表示，上述行为违反了《证券期货业信息安全保障管理办法》第二十二条、《证券基金经营机构信息技术管理办法》第六条、第二十二条第一款以及《证券公司内部控制指引》第一百一十四条、第一百一十五条的相关规定。依据《信息安全保障管理办法》第五十条、《信息技术管理办法》第五十七条，以及《证券期货业网络安全事件报告与调查处理办法》(证监会公告〔2021〕12号)第二十八条的规定，中国证监会决定对招商证券采取出具警示函的行政监管措施。招商证券应对相关问题进行全面整改，并对责任人员进行内部责任追究。同日，中国证监会披露对3名责任人的处罚决定：胡滔作为招商证券总裁助理、首席数字官，协管信息技术工作，邓曙光作为招商证券金融科技中心总监，陈卓作为招商证券金融科技中心核心交易开发部总经理，对相关问题负有责任。根据《信息技术管理办法》第五十七条以及《证券期货业网络安全事件报告与调查处理办法》(证监会公告〔2021〕12号)第二十八条的规定，中国证监会决定对上述3人采取出具警示函的行政监管措施。

　　【赶紧自查，AMD和Intel CPU又曝新漏洞】近日，苏黎世联邦理工学院研究人员Johannes Wikner和Kaveh Razavi发现了一个影响众多旧AMD和Intel微处理器的漏洞，该漏洞可能绕过当前的防御并导致基于Spectre的推测执行攻击。漏洞编号为CVE-2022-29900(AMD) 和CVE-2022-29901(Intel)，安全人员将这些问题称为Retbleed。在将该漏洞信息上报AMD和Intel后，这两大芯片巨头已经发布了相关的缓解措施，并督促用户进行安全更新。Retbleed是利用分支目标注入来泄漏信息的推测执行攻击系列的新成员，我们称之为Spectre-BTI（CVE-2017-5715或Spectre-V2）。该攻击利用推测执行优化技术的副作用，通过时序侧通道来欺骗程序访问其内存空间中的任意位置并泄漏私人信息。推测执行试图通过预测接下来将执行哪条指令，来填充程序的指令流水线以获得性能提升，同时如果猜测结果错误，也会撤消执行结果。Spectre系列攻击正式利用了这一漏洞，这些错误执行的指令（错误预测的结果）必然会在缓存中留下执行痕迹，从而导致流氓程序可以欺骗处理器执行错误的代码路径，和推断与受害者有关的秘密数据。换句话说，Spectre是瞬态执行攻击的一个实例，它依靠硬件设计缺陷来影响哪些指令序列被推测执行，并从受害者的内存地址空间中泄露加密密钥或密码。虽然已经设计了像Retpoline（又名return trampoline）这样的保护措施来防止分支目标注入(BTI)，但Retbleed旨在绕过这种对策并实现推测性代码执行。

　　【联想超70款笔记本电脑被曝新型UEFI固件漏洞】据Bleeping Computer网站7月13日消息，由联想生产的超70款笔记本电脑正受三个UEFI固件缓冲区溢出漏洞的影响，这些漏洞能让攻击者劫持Windows系统并执行任意代码。据悉，这三个漏洞由安全优艾设计网_设计圈软件公司ESET的分析师发现，并已经将其报告给了联想。根据联想的披露，这三个中等严重级别的漏洞分别为CVE-2022-1890、CVE-2022-1891和CVE-2022-1892。其中第一个为联想部分笔记本产品使用的ReadyBootDxe驱动的问题，后两个是SystemLoadDefaultDxe驱动的缓冲区溢出漏洞，该驱动被用于Yoga、IdeaPad、Flex、ThinkBook、V14、V15、V130、Slim、S145、S540和S940等70多款电脑型号。ESET的分析师表示，这些漏洞是由于传递给UEFI运行时服务函数GetVariable的DataSize参数验证不充分引起，攻击者可以创建一个特制的NVRAM变量，导致第二个GetVariable调用中数据缓冲区的缓冲区溢出。总体而言，利用UEFI 固件漏洞的攻击非常危险，能让攻击者在操作系统刚启动时运行恶意软件，甚至在Windows内置安全保护被激活之前，从而绕过或禁用操作系统级别的安全保护、逃避检测，并且即使在磁盘格式化后仍然存在。对于一些经验丰富的攻击者，能够利用这些漏洞执行任意代码，对设备系统产生难以预估的影响。为了解决这一风险，官方建议受影响设备的用户通过官网下载适用于其产品的最新驱动程序版本。

　　【迪士尼Instagram和Facebook帐户被黑，并被威胁行为者发布恶意内容】近期，迪士尼Facebook和Instagram账户被一名自称超级黑客的人入侵，他利用迪士尼账户发布了一系列种族主义相关的帖子。经调查，这个名为David Do的威胁行为者声称在迪士尼乐园遭到员工侮辱，为此他正在寻求报复，他在一篇博文中写道：我是一名超级黑客，来这里是为了报复迪士尼乐园……现在谁是硬汉杰罗姆? 不仅如此，这名黑客还声称发明了COVID-19，并暗示他正在研究一种新的COVID20病毒。据迪士尼的回应，该威胁行为者在太平洋时间凌晨5点前在其Instagram账户上发布了4篇帖子，同时黑客还标记了其他几个Instagram账户，但尚不清楚他们是否是朋友，是否会为警方提供找到黑客的帮助。有意思的是，这名威胁行为者甚至鼓励社交媒体用户关注他的私人Instagram帐户@chi11estpanda。这些帖子收到了迪士尼840万粉丝的数千条评论，他们都对此表达了震惊和愤怒。在帖子发布不久后，迪士尼就暂时关闭了其Facebook和Instagram 帐户，并在团队删除帖子后重新上线，目前迪士尼表示其他社交媒体页面似乎没有受到影响，目前尚不清楚此人是如何设法访问迪士尼乐园Instagram帐户的，是陌生黑客还是可以访问登录名的前员工。随后迪士尼乐园在最近的帖子更新中说：我们迅速采取行动，删除了应受谴责的内容，保护了我们的账户，目前我们的安全团队正在对此事进行调查。目前在迪士尼乐园博客文章底部还能看到被黑客入侵并发布恶意帖子的版本。