【网络科普】2023年网络安全事件盘点

一年一度，一回一望。

过去一年，一方面，数据出境安全评估、SCC备案、个人信息保护认证等陆续落地；另一方面，数据泄露、勒索软件、零日漏洞等安全事件层出不穷，难怪2023年被业内人士称为“灾年”，与此同时，监管亦愈发频繁而严格。

一、杭州上城网警破获一起重大勒索病毒案件

关键词：国内勒索软件攻击事件（延伸：网络安全事件响应，尤其包括报告等）

11月20日，杭州上城网警接到辖区某公司报案称，该公司名下相关服务器遭勒索病毒攻击，导致公司所有系统无法正常运行，对方勒索2万USDT（泰达币）。警方随即组建技术攻坚团队开展侦查。专案组对被攻击服务器进行细致勘验、提取木马程序进行分析和对嫌疑人勒索使用的虚拟币地址进行多维度研判，成功锁定2名犯罪嫌疑人。11月30日，专案组在内蒙古自治区呼和浩特市成功抓获韩某、祁某，并于次日在北京抓获2名同案犯罪嫌疑人李某、郝某。至此，该团伙4名犯罪嫌疑人全部落网。

该团伙4人均有网络安防相关资质，且有供职大型网络科技公司经历。他们对分工负责编写勒索病毒版本、借助ChatGPT进行程序优化、开展漏洞扫描、渗透获取权限、植入勒索病毒、实施敲诈勒索的犯罪事实供认不讳。

二、5家企业获颁首批个人信息保护认证证书

关键词：个人信息保护认证落地

12月15日，中国网络安全审查技术与认证中心向珠海澳科大科技研究院、支付宝（中国）网络技术有限公司、北京华品博睿网络技术有限公司、京东科技信息技术有限公司等5家企业颁发了我国首批个人信息保护认证证书。

其中，“基于‘澳门科技大学科研数据跨境流动管理系统’的科研工作和管理业务所涉及的个人信息处理活动”项目，荣获全国首张“个人信息保护认证”证书（证书编号：CCRC-PIP-0001）；该项目同时还获得了澳门特别行政区政府个人资料保护办公室颁发的“个人资料跨境转移许可”。

个人信息保护认证，是依据GB/T35273-2020《信息安全技术 个人信息安全规范》等有关国家标准，证明个人信息处理者在认证范围内开展的个人信息收集、存储、使用、加工、传输、提供、公开、删除以及跨境等处理活动符合认证依据标准要求。首批认证证书的颁发，标志着个人信息保护认证（包括个人信息跨境传输场景的认证）实施工作迈出了重要一步。

三、“兴业太古汇”被严肃约谈，扫码付停车费仍被诱导关注商场公众号

关键词：莫置若罔闻、莫心存侥幸、莫态度消极    

根据网民举报，“兴业太古汇”商场在消费者停车缴费服务中存在违法收集个人信息的情况。经核实，该商场停车场未提供“纯净版”停车码等便捷缴费方式，同时存在缴费入口设置隐蔽、诱导用户关注商场公众号，以及隐私政策需要消费者提供“身份证号码”等个人信息授权同意（但技术检测并没有实际收集）等问题。

12月18日下午，上海市网信办会同静安区网信办依法约谈“兴业太古汇”运营企业冠丰（上海）房地产发展有限公司，要求企业立即整改，切实维护消费者的合法权益。约谈中，企业参加人员未得到充分授权，整改态度不积极。约谈明确指出，若企业拒不改正，网信部门将依据《个人信息保护法》严肃查处。