文章总结： 文档汇总了2026年6月24日全球网络安全事件与政策动态，包括DroppingElephantAPT组织利用GoogleErrorReport伪装攻击、BajajAuto遭勒索事件揭示制造业OT安全短板、LabCorp因供应商漏洞被罚2.36亿凸显第三方风险管理重要性、AWS警示云环境出站流量盲点风险、三星KNOX子系统曝8年漏洞影响多代设备、LastPass因供应链攻击致客户数据泄露。核心结论指出金融监管趋严（如苏州银行被罚721万元及个人追责）、欧盟CSA2修订抬高出海合规门槛，建议企业加强供应链审计、云环境出站流量监控及AI应用安全合规建设。 综合评分： 75 文章分类： 政策法规,数据安全,供应链安全,漏洞分析,安全建设

苏州银行因网络安全和数据安全问题被罚 721 万元，网金部个人也被追责

汇能云安全

2026年6月24日 09:51 广东

在小说阅读器读本章

去阅读

6月24日，星期三，您好！中科汇能与您分享信息安全快讯：

01

Dropping Elephant APT 回来了：用中国能源合同做诱饵，GoogleErrorReport 做 “保镖”

Dropping Elephant（又名 “坠落象”）是一个长期活跃的网络间谍组织，过去主要针对南亚地区的政府和军事目标。最近，安全研究人员发现该组织发起了一轮新的攻击行动，手法比以往更加精细，攻击从一封看似普通的能源合同文件开始，受害者收到的是一个 LNK 快捷方式文件，伪装成 PDF 文档，文件名暗示这是一份工业能源合同。一旦打开，PowerShell 脚本会在后台悄悄运行，下载经过完全重构的远程访问木马（RAT）。这次行动最值得关注的技术细节是持久化机制，攻击者没有使用常见的注册表自启动或服务创建，而是利用了 GoogleErrorReport—— 一个 Windows 系统上看起来完全合法的谷歌错误报告组件 —— 作为计划任务的载体。安全团队在排查时很难将一个 “谷歌错误报告” 任务与恶意行为关联起来。攻击链中还使用了微软合法二进制 Fondue.exe 进行侧加载，恶意加载器伪装成 APPWIZ.cpl。这种 “寄生在合法程序上” 的手法大大增加了检测难度。

02

印度制造业巨头 Bajaj Auto 遭勒索：两轮车之王也挡不住加密攻击

6 月 23 日，印度最大的两轮摩托车制造商 Bajaj Auto 确认遭遇勒索软件攻击。这次攻击不仅命中了母公司，还波及了其全资技术子公司 Bajaj Auto Technology Ltd（BATL）的 IT 系统。事件在印度时间上午 8 时左右被发现，公司迅速启动应急响应，联合外部网络安全专家进行遏制。Bajaj Auto 是全球第三大摩托车制造商，年营收超过数百亿美元，在印度制造业中地位举足轻重，这类大型制造企业被勒索，影响不仅限于数据加密 —— 生产线停摆、供应链中断、客户订单延迟，每一项的损失都远超赎金本身，近期针对工业和汽车行业的勒索攻击明显增多。攻击者已经摸透了制造业的软肋：OT（运营技术）和 IT 网络的隔离往往不够彻底，老旧的工业控制系统缺乏安全防护，而生产连续性要求又让企业更容易在压力下支付赎金。建议：制造企业应将 OT 网络安全提升到与 IT 安全同等的优先级。关键生产系统必须有离线备份和快速恢复方案。定期进行勒索攻击应急演练，确保一旦 IT 系统被加密，生产线能在可接受的时间内恢复。

03

供应商出事，甲方赔 2.36 亿：LabCorp 千万患者数据泄露案的教训

美国临床实验室巨头 LabCorp 近日同意支付 3500 万美元（约 2.36 亿元人民币），就一起源于第三方供应商的数据泄露事件达成集体诉讼和解。事情要追溯到 2018 年 ——LabCorp 的债务催收服务商 AMCA 遭到黑客入侵，导致超过 2100 万人的数据泄露，其中包括 1000 多万 LabCorp 患者的社保号码、支付信息和医疗检测数据，泄露持续了将近半年才被发现，在这期间，黑客可以自由访问 AMCA 系统中的所有敏感数据。事件曝光后，AMCA 申请破产保护并停止运营，41 个州的检察长对其展开跨州调查。但 AMCA 已经没钱了 —— 最初裁定的 2100 万美元罚款因公司财务恶化而暂停执行，真正付钱的是 LabCorp。尽管 LabCorp 声称自己也是受害者，但法院认定其在供应商管理方面存在疏忽。从数据泄露到最终和解，这场官司打了整整 6 年。这个案例给所有依赖第三方处理敏感数据的企业敲响了警钟：你选择的供应商出了安全问题，法律和舆论首先追究的是你。供应商安全评估不是签合同的时候打个勾就完了，而是需要持续监控、定期审计、明确责任划分的长期工作。

04

AWS 发出警告：你的云环境后门可能一直开着，只是你没看出站流量

WS 安全团队发布了一份详细分析，指出云环境中的出站流量盲点正在成为数据外泄的主要通道，当一个云工作负载被攻破后，攻击者的标准操作就是建立出站连接 —— 要么把窃取的数据传出去，要么建立命令控制（C2）通道，如果没有人监控从云环境出去的流量，这些行为完全不会被发现。问题的根源在于默认配置，大多数云环境的出站流量默认是完全开放的 —— 安全团队忙着限制谁能进来，却忘了控制谁能出去，攻击者利用这一点，通过合法的 HTTPS 端口将数据传到外部服务器，流量看起来和正常的 API 调用没什么区别。这个风险在混合云和多云环境中尤其突出。当工作负载分散在多个区域和账户中时，出站流量的可见性会急剧下降。建议：对所有云环境的出站流量进行审计，建立出站通信基线，对偏离基线的行为触发告警。实施最小权限的出站安全组规则，限制工作负载只能访问必要的外部端点。启用 VPC 流日志和 CloudTrail，定期分析出站流量模式。

05

三星 KNOX 安全子系统曝出 8 年老漏洞：从 Galaxy S9 到 S25 全部中招

安全研究人员在三星专有的 KNOX 安全子系统中发现了一个存在超过 8 年的 use-after-free（UAF）漏洞。KNOX 是三星为其 Galaxy 设备构建的企业级安全平台，被很多企业用于移动设备管理和数据保护，而这次出问题的是 KNOX 的核心组件 PROCA（Process Authenticator）—— 它负责防止未授权进程执行，是整个安全架构的信任根基。漏洞存在于 FIVE（File-based Integrity Verification Engine）中，这是三星在 Linux 内核完整性度量架构之上构建的内核侧完整性追踪子系统。攻击者可以利用这个 UAF 漏洞在内核层面执行代码，从 Galaxy S9 到最新的 S25，包括 A 系列设备（如 A54），在 Exynos 和高通两种芯片平台上均受影响。三星在今年 1 月的安全更新中修复了这个漏洞，但由于安卓设备的碎片化问题，大量用户可能至今仍未收到更新。很多企业采购的三星设备可能还在运行未修补的固件。

06

LastPass 被 Klue 供应链攻击波及：客户数据在 Salesforce 中泄露

LastPass 披露了一起涉及第三方供应商 Klue 的供应链安全事件，攻击者通过 Klue 获取了存储在其中的 OAuth 令牌，利用这些令牌未经授权地访问了 LastPass 在 Salesforce 环境中的客户数据。LastPass 强调其核心基础设施和用户密码库未受影响，但这并不意味着这件事不严重，泄露的数据主要包含商业联系信息 —— 姓名、邮箱、电话、职位等。虽然不是密码库，但这些信息对攻击者来说同样有价值，它们可以被用于精准钓鱼攻击，伪装成 LastPass 的合作伙伴或供应商来骗取更敏感的凭据。这是 Klue 供应链攻击事件的最新受害者，此前已有 Recorded Future、HackerOne、Snyk 等 9 家知名安全公司确认受影响。攻击者入侵 Klue 后，通过窃取的 OAuth 令牌逐一访问客户企业的 Salesforce 数据，本质上是 “攻破一个节点，收割所有客户”。对 LastPass 用户来说，虽然密码库安全，但仍需警惕利用泄露的联系信息发起的钓鱼攻击。

07

苏州银行因网络安全和数据安全问题被罚 721 万元，网金部个人也被追责

苏州银行因网络安全、数据安全等问题被监管部门处罚，违法所得 39.9 万元被没收，并被罚款 721.02 万元。更值得关注的是，银行网络金融部门的相关人员也收到了个人罚单 —— 这意味着监管不再只罚机构，而是直接追究到个人责任。近年来金融监管对网络安全的处罚力度明显加大，从数据安全法、个人信息保护法到关键信息基础设施安全保护条例，金融机构面临的合规要求越来越多，处罚标准也越来越高。苏州银行这次被罚，释放了一个明确信号：银行的信息安全管理不能只停留在纸面上，必须有实际的落地措施和可验证的执行效果。对其他金融机构来说，这是一个非常现实的警示，很多中小银行的信息安全投入与业务规模不匹配，安全团队人手不足、制度执行不到位、技术防护措施滞后等问题普遍存在。一旦出了事，罚款只是表面损失，更大的代价是客户信任和监管评级的影响。建议金融机构应立即对照最新监管要求开展自查，重点检查网络安全等级保护、数据安全管理和个人信息保护的落实情况。安全投入不能只看有没有制度文件，要看实际执行效果。建立安全合规的常态化检查机制，不要等到出了问题才被动应对。

08

欧盟《网络安全法》修订推进：中国企业出海面临更严格的安全认证门槛

欧盟的网络安全合规要求正在升级，对中国企业的海外业务影响不容忽视，欧盟《网络安全法》（CSA）的修订版本（CSA2）正在推进中。这次修订的核心变化包括：扩大网络安全认证的适用范围，提高对关键产品和服务的安全评估要求，加强成员国之间的威胁情报共享机制。简单来说，以前能过关的产品和服务，以后可能需要通过更高等级的安全认证。对中国企业来说，受影响最大的领域包括云服务、IoT 设备和关键基础设施相关产品。CSA2 不仅要求技术层面的安全评估，还可能涉及供应链安全审查 —— 这对依赖国内供应链的中国企业来说是一个额外的合规挑战，从实际操作角度看，CSA2 的认证过程可能比现有的 CE 认证更加复杂和耗时，企业不仅需要证明产品本身的安全性，还需要证明整个开发和供应链流程符合欧盟的安全标准。对于已经在欧盟市场运营的企业，过渡期的安排和认证路径的规划需要尽早启动。

09

AI 安全工具来了个 “大满贯”：CyberSentinel AI 集成 33 款渗透工具引发争议

开源 AI 安全平台 CyberSentinel AI 发布了 v3.0 版本，一次性集成了 33 款实战安全工具，包括 Nmap、SQLMap、ZAP 等主流渗透测试工具，并接入了 Claude、GPT-4o 等多个 AI 引擎。扫描任务在隔离的 Kali 容器中执行，支持 Docker 一键部署，从防御角度看，这类工具确实有价值。很多中小企业的安全团队缺乏专业的渗透测试能力，AI 驱动的自动化安全检测可以大幅降低门槛 —— 不需要每个安全工程师都是渗透专家，AI 可以帮助编排和执行复杂的检测流程。但安全社区对此存在明显分歧，支持者认为这 democratizes（民主化）了安全测试，让更多企业能够主动发现自身漏洞。反对者则担心，同样的工具链也为攻击者提供了便利 —— 当攻击的门槛降低而防御能力没有同步提升时，攻防天平会进一步向攻击者倾斜。这件事反映的是一个更大的趋势：AI 正在重塑网络安全行业的工具生态。问题是，当攻防双方都能使用同样的 AI 工具时，优势到底在哪一边？答案可能取决于谁更快地将 AI 融入自己的安全运营流程。

10

国家金监总局发文：银行业保险业 AI 安全开发应用有了 “硬规矩”

AI 在金融行业的应用越来越广泛，但安全规范一直跟不上节奏。这个局面正在改变。国家金融监督管理总局发布了《关于银行业保险业人工智能安全开发应用的指导意见》，对金融机构使用 AI 技术提出了明确的安全要求。这是国内首个专门针对金融行业 AI 应用安全的监管文件。文件的出台背景很清晰：过去两年，银行和保险机构在客服、风控、营销、理赔等环节大量引入 AI 技术，但很多应用的安全评估和风险管理并不到位。AI 模型的决策不透明、训练数据的隐私风险、模型被对抗样本攻击的可能性 —— 这些问题在金融场景中的后果比其他行业严重得多，因为涉及的是真金白银和客户信任。对金融机构来说，这份指导意见意味着 AI 应用不能再 “先上线再说”。从模型开发、训练数据管理、安全测试到上线后的持续监控，每个环节都需要有合规的安全措施。

信息来源：人民网 国家计算机网络应急技术处理协调中心 国家信息安全漏洞库 今日头条 360威胁情报中心 中科汇能GT攻防实验室 安全牛 E安全 安全客 NOSEC安全讯息平台 火绒安全 亚信安全 奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院 安全帮  卡巴斯基 安全内参 安全学习那些事 安全圈 黑客新闻 蚁景网安实验室 IT之家IT资讯 黑客新闻国外 天际友盟

本文版权归原作者所有，如有侵权请联系我们及时删除

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：汇能云安全 《苏州银行因网络安全和数据安全问题被罚 721 万元，网金部个人也被追责》