Archives

这起事件也凸显了 2026 年威胁态势中的一个反复出现的主题：攻击者越来越多地将物流和履约供应商作为单点突破口，一次入侵即可波及数十个下游零售品牌，将单一仓库的失陷演变为涉及多家企业的数据泄露事件。客户应提高警惕，防范钓鱼诈骗。

公安部第176号令《公安机关网络空间安全监督检查办法》即将正式实施，取代旧 151 号令。新规将数据安全、网络安全、信息安全统一纳入网络空间安全监管范畴，数据处理者、个人信息处理者均被纳入监督对象，内网业务、内部核心数据不再处于监管盲区。

《个人信息保护法》第五十一条规定，“个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失。

过去医疗数据安全常被视作 IT 部门附加工作，如今已是医院、药企 “一把手工程”。网信、公安、卫健委、市场监管多部门联合执法，风险即违法、泄露即追责，为科研借数据变相带金销售、倒卖患者隐私、外包运维数据外泄等行为均划定清晰红线。

《通知》围绕完善数据赋能科技金融全链条，聚焦融资对接、智能风控、产品创新等环节，引导金融机构依托科技金融领域数据库，构建科技型企业数字信用画像，打造特色的科技型企业风控投研模型，开发契合细分行业企业融资需求的科技金融产品。

安全研究人员指出，该事件与Cl0p勒索组织针对Oracle EBS开展的数据窃取活动高度相关，该组织此前曾利用相关漏洞攻击多家企业并实施勒索。雅诗兰黛目前已启动受影响人员通知，并提供身份监控服务，同时加强系统安全防护措施。

近日，国家卫健委、公安部等五部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（以下简称《办法》），为各级医疗机构划定数据安全管理底线，明确主体责任、全生命周期管控、分类分级保护等强制性要求。医疗数据泄露、违规共享、超范围采集患者信息等行为的处罚力度持续加大。

不同于大规模勒索攻击，现在的网络攻击不再单纯依靠攻破防火墙，而是瞄准人事、行政、研发等高频接收外部文件的岗位，以文档、简历、图纸、报价单为载体突破终端防线。防火墙、杀毒软件可以拦截已知病毒，却很难抵御变种木马、社工钓鱼。

电力、政务等关键基础设施是头号攻击目标，企业不能仅依靠杀毒软件，必须落地「员工钓鱼培训+EDR行为监控+网络流量审计+漏洞常态化修复」四层防护体系。后续基于LLM生成的恶意程序会持续增多，政企安全架构急需升级行为检测能力。

埃森哲已确认存在安全漏洞，但未证实威胁攻击者声称的数据范围和具体类型。在取证证据或数据样本泄露提供更强佐证前，建议安全团队将具体数据类型和数量视为未经证实。鉴于样本中提及的凭证类型，仍建议使用Azure DevOps的组织检查PAT轮换策略并审核代码库访问日志作为预防措施。