9月5日，2022年國家網(wǎng)絡(luò)安全宣傳周啟動，來自國家計算機病毒應(yīng)急處理中心和360發(fā)布的調(diào)查報告顯示，美國國家安全局(NSA)下屬的特定入侵行動辦公室(TAO)多年來對我國國內(nèi)的網(wǎng)絡(luò)目標實施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了相關(guān)網(wǎng)絡(luò)設(shè)備，疑似竊取了高價值數(shù)據(jù)，其中就包括4月對西北工業(yè)大學(xué)(以下簡稱“西工大”)的網(wǎng)絡(luò)攻擊。近年來，國家針對個人信息保護和政企網(wǎng)絡(luò)安全保護出臺了多部法律法規(guī)，倡導(dǎo)全民關(guān)注。面對看不見的網(wǎng)絡(luò)安全防線，普通用戶應(yīng)該如何保護個人信息，除了要關(guān)注傳統(tǒng)的電信、網(wǎng)絡(luò)安全保護，還有哪些場景存在網(wǎng)絡(luò)安全風(fēng)險？
國家網(wǎng)絡(luò)安全宣傳周啟動
9月5日-11日，中央宣布部、中央網(wǎng)信辦等聯(lián)合在全國范圍內(nèi)統(tǒng)一舉辦2022年國家網(wǎng)絡(luò)安全宣傳周，主題是“網(wǎng)絡(luò)安全為人民，網(wǎng)絡(luò)安全靠人民”。安全周期間，全國各省(區(qū)、市)統(tǒng)一組織本行政區(qū)內(nèi)的網(wǎng)絡(luò)安全宣傳周活動，各有關(guān)中央部門、人民團體組織指導(dǎo)本系統(tǒng)本行業(yè)的活動，其中包括網(wǎng)絡(luò)安全教育云課堂、網(wǎng)絡(luò)安全賽事、網(wǎng)絡(luò)安全進基層，另外，網(wǎng)安周期間還將安排校園日、電信日、法治日、金融日、青少年日、個人信息保護日等主題日活動。
【資料圖】
國家網(wǎng)絡(luò)安全宣傳周啟動當天，相關(guān)話題均登上微博、百度熱搜。當天掛在熱搜上的還有西工大遭網(wǎng)絡(luò)安全攻擊事件。
根據(jù)360等發(fā)布的“關(guān)于西工大發(fā)現(xiàn)美國NSA網(wǎng)絡(luò)攻擊調(diào)查報告”，6月22日，西工大發(fā)布《公開聲明》稱，該校遭受境外網(wǎng)絡(luò)攻擊。陜西省西安市公安局碑林分局隨即發(fā)布《警情通報》，證實在西工大的信息網(wǎng)絡(luò)中發(fā)現(xiàn)了多款源于境外的木馬程序樣本，西安警方已對此正式立案調(diào)查。初步判明相關(guān)攻擊活動源自美國(NSA)的TAO。
“360主要通過多年積累的海量安全大數(shù)據(jù)，以及獨立捕獲大量高級復(fù)雜的攻擊程序樣本，對美國NSA攻擊事件進行了追蹤分析，還原了相關(guān)攻擊事件的總體概貌、技術(shù)特征、攻擊武器、攻擊路徑和攻擊源頭”，360安全專家邊亮告訴北京商報記者。
調(diào)查發(fā)現(xiàn)，近年，美國NSA下屬TAO對中國國內(nèi)的網(wǎng)絡(luò)目標實施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了數(shù)以萬計的網(wǎng)絡(luò)設(shè)備，包括：網(wǎng)絡(luò)服務(wù)器、上網(wǎng)終端、網(wǎng)絡(luò)交換機、電話交換機、路由器、防火墻等，竊取了超過140GB的高價值數(shù)據(jù)。
網(wǎng)絡(luò)攻擊事件非個例
對于西工大遭到美國國家安全局網(wǎng)絡(luò)攻擊一事，外交部發(fā)言人在9月5日舉行的中國外交部例行記者會上表示，中方對此強烈譴責(zé)。美國應(yīng)立即停止對他國進行竊密和攻擊，為維護網(wǎng)絡(luò)安全作出建設(shè)性作用。外交部發(fā)言人毛寧指出，中方堅決反對任何形式的網(wǎng)絡(luò)攻擊。維護網(wǎng)絡(luò)安全是國際社會共同責(zé)任，愿同國際社會一道，攜手構(gòu)建網(wǎng)絡(luò)空間命運共同體。
根據(jù)調(diào)查報告，美國NSA還利用其控制的網(wǎng)絡(luò)攻擊武器平臺、“零日漏洞”(0day)和網(wǎng)絡(luò)設(shè)備，長期對中國的手機用戶進行無差別的語音監(jiān)聽，非法竊取手機用戶的短信內(nèi)容，并對其進行無線定位。
事實上，2020年360曾公開披露，美國中央情報局CIA攻擊組織(APT-C-39)對我國進行長達十一年的網(wǎng)絡(luò)攻擊滲透。在此期間，我國航空航天、科研機構(gòu)、石油行業(yè)、大型互聯(lián)網(wǎng)公司以及政府機構(gòu)等多個單位均遭到不同程度的攻擊。
2022年3月，360獨家披露了美國國家安全局NSA(APT-C-40)為達到美國政府情報收集目的，針對全球發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊，其中我國是NSA組織的重點攻擊目標之一。攻擊對象包括政府、金融、科研院所、軍工、航空航天、醫(yī)療行業(yè)等重要基礎(chǔ)設(shè)施，潛伏滲透的時間長達近十年。
邊亮告訴北京商報記者，“截至今年，360已累計發(fā)現(xiàn)了50個其他國家背景的APT(高級持續(xù)性威脅)組織，監(jiān)測到5200多起針對中國的國家級網(wǎng)絡(luò)攻擊行為。2022年上半年，360捕獲到對中國地區(qū)發(fā)起攻擊涉及的組織12個”。
個人信息安全保護口訣：會識別、關(guān)權(quán)限、安裝反詐App
由于越來越多的網(wǎng)站、App要求用戶必須實名注冊和登錄，這使普通網(wǎng)民對個人信息安全保護的關(guān)注度越來越高。
國家相關(guān)部門也已發(fā)布《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》等多項法律法規(guī)。自2021年11月1日施行《個人信息保護法》規(guī)定，在取得個人的同意；為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需；為履行法定職責(zé)或者法定義務(wù)所必需等情況下，個人信息處理者方可處理個人信息。基于個人同意處理個人信息的，個人有權(quán)撤回其同意。個人信息處理者應(yīng)當提供便捷的撤回同意的方式。
作為普通用戶，應(yīng)該怎樣防范不必要的個人信息泄露？奇安信行業(yè)安全研究中心主任裴智勇向北京商報記者總結(jié)了三項能力：“一是要掌握一定的詐騙信息識別能力，努力避免通過電話、短信、郵件、社交軟件或釣魚網(wǎng)站，向陌生人泄露自己的個人信息；二是要學(xué)會使用智能手機的權(quán)限管理功能，關(guān)閉App非必要的個人信息獲取權(quán)限，最大限度地保護個人信息不被商家過度獲??；三是安裝國家反詐中心App或全民反詐App，安裝手機安全軟件，減少惡意軟件或詐騙電話攻擊的風(fēng)險”。
作為政企機構(gòu)，特別是經(jīng)營業(yè)務(wù)本身涉及大量公民個人信息的政企機構(gòu)，如互聯(lián)網(wǎng)企業(yè)、有關(guān)政府部門、社會組織，以及金融、能源等社會服務(wù)型行業(yè)機構(gòu)，裴智勇的建議是：“需要把用戶的或服務(wù)管理對象的個人信息保護工作，作為網(wǎng)絡(luò)安全工作的重點來抓，從業(yè)務(wù)設(shè)計、系統(tǒng)開發(fā)、數(shù)據(jù)梳理等多個方面，全面加強數(shù)據(jù)安全的建設(shè)與運維，既要防外賊，又要防內(nèi)窺；既要防泄露，又要防勒索；既要做好數(shù)據(jù)加密，又要做好數(shù)據(jù)災(zāi)備。”
那些網(wǎng)絡(luò)安全風(fēng)險新場景
除了從攻擊對象出發(fā)關(guān)注網(wǎng)絡(luò)安全問題，網(wǎng)絡(luò)安全場景也有新的變化，其中智能汽車安全是個典型。
根據(jù)相關(guān)數(shù)據(jù)，2016年到2020年，全球圍繞汽車網(wǎng)絡(luò)安全方面發(fā)生的事件數(shù)量增長了近10倍，IDC數(shù)據(jù)顯示，2020年全球智能網(wǎng)聯(lián)汽車出貨量4440萬輛，到2024年全球智能網(wǎng)聯(lián)汽車出貨量將達到約7620萬輛，全球出貨的新車中超過71%將搭載智能網(wǎng)聯(lián)系統(tǒng)。2021年特斯拉全球服務(wù)器宕機導(dǎo)致車主無法通過App 解鎖車輛事件，將智能汽車網(wǎng)絡(luò)安全問題推上風(fēng)口浪尖。
一般來說，車主通過鑰匙、手機App即可進行車輛解鎖、遠程啟動等操作。但安恒信息研究人員發(fā)現(xiàn)，通過破解，只要知道這個車架號，即可獲取車輛的控制權(quán)限，在不需要鑰匙的情況下，即可開關(guān)車門、開關(guān)后備箱等。
安恒信息總經(jīng)理吳卓群告訴北京商報記者，“車輛被控制后，可以在不知情的情況下安裝惡意程序。不法分子可以植入一個惡意二維碼，冒充綁定系統(tǒng)。一旦不小心掃碼，就會泄露手機號碼等個人信息”。
以行車記錄儀為例，行車記錄儀具備錄音、錄像等功能，也存儲著大量隱私數(shù)據(jù)。安恒信息研究人員發(fā)現(xiàn)，部分行車記錄儀也存在著漏洞，行車記錄儀在啟動時會釋放一個WiFi熱點(默認無密碼)，當該熱點被惡意攻擊者接入時，就可以訪問行車記錄儀的一些服務(wù)。按正常流程這些服務(wù)需要獲取到行車記錄儀的授權(quán)(如登錄賬號密碼或App認證)才可以訪問，但惡意攻擊者可以通過行車記錄儀的安全漏洞進行未授權(quán)訪問，查看當前行車記錄儀的實時視頻，還可以獲取行車記錄儀系統(tǒng)內(nèi)部存儲的歷史視頻，比如行車軌跡、甚至于車內(nèi)交流的聲音等等，危害到行車記錄儀車主的個人隱私。
針對車聯(lián)網(wǎng)存在的安全風(fēng)險，吳卓群向車主建議：“1、要及時進行系統(tǒng)更新；2、不使用時，盡量關(guān)閉電源，關(guān)閉不必要的藍牙、WiFi等功能，設(shè)置強密碼并定期修改密碼。我們也呼吁車企，能夠加強車主的數(shù)據(jù)安全保護?！?
（文章來源：北京商報）
標簽： 網(wǎng)絡(luò)安全
