文章总结： 本期网络空间安全动态主要涵盖国内外网安动向、数据前沿、事件聚焦及风险警示。国内方面，网信办等多部门密集发布新规，涉及分布式数字身份管理、平台经济协同发展、消费类网联摄像头安全标识等。国际上，美国在量子技术和后量子密码领域动作频繁，并出台《国家韧性战略》。此外，五眼联盟也对AI模型的颠覆性安全风险发出联合警告。 综合评分： 85 文章分类： 政策法规,网络安全,AI安全,供应链安全,恶意软件

---

安全动态丨网络空间安全动态第339期

国信中心 国信中心

极客安全

2026年6月27日 13:00 北京

在小说阅读器读本章

去阅读

编者按

网安动向热讯，本期有十七点值得关注：

一是网信办就《促进分布式数字身份互通互认应用规定（征求意见稿）》公开征求意见；二是网信办等七部门联合印发《促进平台经济大中小企业协同发展行动方案（2026—2028年）》；三是网信办、工信部、公安部联合印发《实施网络安全标识的产品目录（第一批）》及相关实施规则；四是商务部等八部门公布《关于加快“人工智能+消费”发展的实施意见》；五是美白宫发布《国家韧性战略》；六是特朗普签署《保护国家免受高级密码攻击》行政令；七是特朗普签署《引领量子创新的下一个前沿》行政令；八是美战争部出台后量子密码战略并启动量子感知倡议；九是特朗普称不再将Anthropic视为美国家安全威胁；十是美商务部BIS发布先进AI芯片涉华出口FAQ；十一是美OMB发布三轮RFO拟议规则中的首份文件；十二是美CISA发布《迈向零信任之旅——在现代TIC 3.0解决方案中使用安全访问服务边缘》指南；十三是美NIST发布OT备份快速启动指南SP-1339；十四是“五眼联盟”网络安全机构联合发布声明；十五是欧盟签署美国“硅和平”倡议；十六是Gartner发布2026年网络安全领域八大发展趋势；十七是OpenAI扩大“破晓”网络安全计划。

数据前沿快讯，本期有四点建议关注：

一是国家网信办等三部门联合公布《网络数据安全风险评估办法》；二是住房城乡建设部、国家数据局发布关于全面建立房屋建筑统一代码制度的通知；三是美两党议员提出“2026生物数据网络法案”；四是美战争部拟建“战斗计算司令部”保障AI武器化。

网安事件聚焦，本期有两方面内容建议关注：

一是全球企业在日益复杂的网络攻击和勒索攻击面前愈显脆弱，供应链安全在边缘不断失效。

本期介绍：加拿大竞争情报AI平台Klue遭网络入侵；印度德里关键污水处理厂完整访问权限遭兜售；印度塔塔电子遭勒索攻击，泄露文件涉海康威视等企业。

二是基础性安全过失导致数据泄露，带来数据保护法规的合规风险。

本期介绍：ShinyHunters曝光297GB欧洲委员会员工数据；Dialog社团因网站代码疏漏导致内部记录泄露。

网安风险警示，本期有五点建议关注：

一是国安部披露弹窗广告的间谍风险；二是国安部发布软件“供应链投毒”防范提醒；三是国家网络安全通报中心：防范假冒公安机关恶意应用程序攻击；四是NGINX开源版中存在两个严重漏洞；五是libssh2库中存在远程代码执行漏洞。

01 网安动向热讯

01

网信办就《促进分布式数字身份互通互认应用规定（征求意见稿）》公开征求意见

6月18日，网信办就《促进分布式数字身份互通互认应用规定（征求意见稿）》向社会公开征求意见。根据征求意见稿，分布式数字身份是指基于区块链等分布式技术，支持用户自主管理身份信息的新型数字身份，由标识符、密钥、可验证凭证和可验证声明构成，可用于数字账户管理、登录认证、数据授权等场景，旨在解决跨地域、跨行业、跨平台身份互通互认问题。征求意见稿对分布式数字身份的注册与互通互认、可验证凭证的签发与验证、分布式数字身份的管理、分布式数字身份的应用、分布式数字身份服务的规划与建设、分布式数字身份链运营方的责任与义务等做出了规定。意见稿提出，在保障现有业务服务连续性与稳定性的前提下，推动分布式数字身份与金融、交通、海关、税务等行业现有身份体系间互通互认。鼓励用户终端设备支持使用分布式数字身份，鼓励各应用场景平台方开展基于分布式数字身份的登录认证，简化业务流程。（信息来源：中国网信网）

02

网信办等七部门联合印发《促进平台经济大中小企业协同发展行动方案（2026—2028年）》

6月18日消息，工信部、网信办等七部门联合印发《促进平台经济大中小企业协同发展行动方案（2026—2028年）》。《行动方案》提出，到2028年，推动平台经济大中小企业协同发展水平显著提升，培育一批平台经济领域制造业单项冠军企业。技术、数据等要素开放共享程度不断提高，发布3批平台开放清单，遴选不少于100个平台资源开放场景试点项目。平台经济新技术、新应用、新模式、新业态加速涌现，打造不少于10个服务平台及60个可落地的智能服务应用场景。《行动方案》提出3方面工作举措。一是强化创新协同引领，增强平台经济发展新动能。二是健全生态协同体系，推动合规生态共创、产业生态共享、服务生态共建、出海生态共赢，拓展平台经济发展新空间。三是深化开放协同联动，引导平台企业加快技术、数据、算力等要素与中小企业开放共享，建立中小企业公共服务平台，构建平台经济发展新格局。工信部将与有关部门密切配合，形成合力，推动《行动方案》落实落细。（信息来源：工信微报）

03

网信办、工信部、公安部联合印发《实施网络安全标识的产品目录（第一批）》及相关实施规则

6月18日消息，网信办、工信部、公安部联合印发《实施网络安全标识的产品目录（第一批）》及相关实施规则，明确消费类网联摄像头为首批实施网络安全标识的产品，自2026年7月1日起施行。该标识适用于消费者个人或组织购买使用、具有互联网联网功能的独立摄像头。产品生产者按照自愿原则，依据《网络安全标准实践指南—网络安全标识 消费类网联摄像头安全要求》开展检测并申请备案。产品生产者应当依据实施规则相关要求开展网络安全能力检测，确定网络安全能力等级并取得检测报告。备案完成后，产品生产者可以按照实施规则要求使用网络安全标识。网络安全能力由低到高分为基础级（一星）、增强级（二星）、领先级（三星）三个等级，标识有效期为3年。需要标注一星级、二星级的产品，产品生产者可以利用自有检测实验室或者委托依法取得资质认定的第三方检测机构开展检测；需要标注三星级的产品，产品生产者还需委托符合条件的第三方检测机构开展渗透性测试。（信息来源：全国网安标委）

04

商务部等八部门公布《关于加快“人工智能+消费”发展的实施意见》

6月18日，商务部等八部门公布《关于加快“人工智能+消费”发展的实施意见》。意见围绕人工智能+商品消费、扩大人工智能+服务消费等五方面，提出17项具体举措。在提升人工智能+商品消费方面，提出扩大智能终端供给，推动消费电子产品从功能型向智能型转变。布局人形机器人消费新赛道，加速机器人从工业场景向消费场景渗透。搭建商品首发平台促进新产品触达。打造“人、车、家”全场景联动生态，并将AI与脑机接口、增强现实等前沿技术融合，研发推出一批国际领先的新产品。在扩大人工智能+服务消费方面，围绕居家、养老、文旅、住宿餐饮、教育五大场景，提出多项务实举措。在推动人工智能+商业创新方面，聚焦零售、电商和物流三个关键环节，提出将技术创新嵌入既有商业体系改造升级，进一步发挥电商在人工智能应用中的场景优势。此外，在加强“人工智能+消费”推广和优化“人工智能+消费”环境方面，提出建设“人工智能+消费”集聚区和AI体验中心，推动人工智能技术在消费领域普及应用。同时，要加大财政等资金支持力度，完善消费基础设施，健全“人工智能+消费”标准体系，筑牢安全防线。（信息来源：商务部网站）

05

美白宫发布《国家韧性战略》

6月23日，美白宫发布《国家韧性战略》。该文件提出，韧性是一项战略能力，是以实力求和平的力量倍增器，有助于确保任何对手或威胁都无法使美国及其核心利益面临风险。美国必须将国家韧性作为核心目标，在“美国优先”理念指导下，以风险排序、系统现代化、责任分摊、治理简化四项关键原则为指导，协调包括公民个人、私营部门、州和地方政府以及联邦政府等在内的各利益相关方共同推进，重点提升国家安全、经济发展、公共卫生与安全、基础设施四大核心领域的韧性，降低风险、强化安全、增进繁荣，持久维系美国的“黄金时代”。（信息来源：美白宫网站）

06

特朗普签署《保护国家免受高级密码攻击》行政令

6月22日，特朗普签署第14409号行政令《保护国家免受高级密码攻击》，旨在加速向后量子密码（PQC）迁移，加强对数字经济、关键基础设施及敏感数据的加密防护。具体措施：一是管理与预算办公室主任和国家网络总监牵头，在全国范围内加速推动向PQC迁移；二是商务部、国家安全局和国土安全部向各机构提供向PQC迁移的清晰可行指导；三是各机构均须指定一名PQC迁移负责人，根据具体使用场景，分别于2030年和2031年前完成高价值资产向PQC迁移；四是商务部启动一项PQC迁移试点项目，并于2027年12月31日前完成，以便为各机构提供明确范例；五是国务院及其他联邦机构协助并鼓励关键基础设施运营者、外国政府及企业向PQC迁移，以确保关键基础设施网络安全，巩固美国在PQC领域的领导地位。（信息来源：美白宫网站）

07

特朗普签署《引领量子创新的下一个前沿》行政令

6月22日，特朗普签署第14411号行政令《引领量子创新的下一个前沿》，旨在应对全球量子技术商业化与军事化加速带来的竞争压力。具体措施：一是总统科技事务助理与其他相关机构领导人协调，更新《国家量子战略》，支持量子赋能技术，鼓励公私合作；二是总统科技事务助理协调能源部、国防部、商务部和情报界，同时加强与美国产业界及科研界领袖的协作，加快研发首台量子计算机，开启量子赋能科学研究的新时代，加速量子技术的商业应用；三是呼吁商务部长、国防部长、能源部长以及美国国家航空航天局局长，在未来五年内制定部署量子赋能传感器和网络的计划；四是通过建立国家量子人才发展学院，推广注册学徒制，加强认证体系建设等措施，培养强大的美国量子人才队伍；五是制定相关计划并提供适当的财政支持，确保美国在量子技术领域拥有安全的供应链和强大的制造能力；六是重组国家量子倡议顾问委员会，强化量子反情报保护小组，推动与国际伙伴在量子领域的合作。（信息来源：美白宫网站）

08

美战争部出台后量子密码战略并启动量子感知倡议

6月23日，美战争部出台后量子密码（PQC）战略，并启动量子感知倡议。PQC战略旨在保护美国战争部通信、数据、指挥控制系统以及卫星通信系统，聚焦集中治理、加密资产清点、技术测试、产业合作和迁移部署等环节，国防工业基础（DIB）也被纳入。战略承接特朗普签署的相关行政令，计划在2030年前，将PQC部署到高影响系统；2031年前，将相关能力覆盖整支部队。量子感知倡议由美国防务创新部门发布，面向联合部队情报、监视与侦察任务需求展开。重点研发量子电场传感器、磁强计、重力梯度仪、战术时钟等，为空中、水面和水下作战提供更高精度的探测、感知和授时能力。（信息来源：防务态势感知）

09

特朗普称不再将Anthropic视为美国家安全威胁

6月22日消息，特朗普在访谈中表示，已不再将人工智能企业Anthropic视作美国家安全威胁，这与其一周前的立场形成明显转变。本月初特朗普下令要求该企业限制境外人员使用Fable 5、Mythos 5，Anthropic随后暂停全部用户模型访问权限。采访中，当被问及是否认为Anthropic及其首席执行官阿莫代存在安全风险时，特朗普称当下已无相关顾虑，同时称赞阿莫代迅速、负责任地落实美政府出口管控要求。特朗普出席七国集团G7峰会期间，专门会见阿莫代等多名科技企业高管。尽管对Anthropic态度明显缓和，但他在采访中透露并未彻底放弃动用《国防生产法》赋予的紧急管控权力。Anthropic称企业将持续配合监管部门，坚守关键基础设施防护、AI安全治理相关工作，确保美在AI领域领先。此前，据美媒报道，美参议院情报委员会副主席马克·沃纳称，在一次授权的内部安全测试期间，Anthropic的Mythos模型在几个小时内入侵了几乎所有国家安全局的机密系统，这一言论引发社交媒体广泛讨论。（信息来源：Itnews网、The CyberSec Guru网）

10

美商务部BIS发布先进AI芯片涉华出口FAQ

6月17日，美商务部工业与安全局（BIS）发布常见问题解答（FAQ），明确其5月31日发布的《关于D:5国家/地区组实体先进计算物项许可证要求执行的指南》（以下简称“五月指南”）所称“先进计算物项”，不仅包括3A090.a类先进计算芯片，也包括搭载此类芯片的4A090.a计算机、服务器、电子组件及相关物项以及相关“.z”项下产品。即面向中国等D:5国家/地区组实体，或其最终母公司总部位于上述地区的实体，相关许可证要求并不止于裸芯片，还可延伸至含有该类芯片的受控设备、组件、软件及其他物项等。五月指南确认，尽管BIS已宣布不执行拜登政府AI扩散规则的新增合规要求，但2023年11月即已确立的相关许可证要求（即1017规则）仍在执行：即使交易对象位于第三国，只要其总部或最终母公司总部位于中国等D:5国家/地区组，出口、再出口或境内转移相关先进计算物项仍可能需要取得BIS许可证。（信息来源：美BIS网站、出口管制合规研究）

11

美OMB发布三轮RFO拟议规则中的首份文件

6月23日，美管理和预算办公室（OMB）发布三轮“联邦采购法规革命性改革”（RFO）拟议规则中的首份文件，开启该法规出台四十余年来规模最大的一次改革，旨在聚焦交付效率、市场竞争度与纳税人收益，而非文书处理能力。新规整合17项联邦采购法规（FAR）条款，将此前各机构试点的简化采购政策正式纳入条例体系，精简条文表述、优化监管架构以提升采购效率；同时借鉴市场推出多项调整，以一页实操指引、口头采购计划权限替代冗长书面细则，推行分级风险审计机制优化高额索赔和解流程，并新增四年一度法规全面复审并征集公众意见的长效机制。后续FAR委员会还将推出两套拟议规则，以简化FAR其余内容，用更清晰、高效且更符合任务需求的采购体系取代数十年来积累的采购要求。（信息来源：美白宫网站）

12

美CISA发布《迈向零信任之旅——在现代TIC 3.0解决方案中使用安全访问服务边缘》指南

6月24日，美网络安全与基础设施安全局（CISA）发布《迈向零信任之旅——在现代TIC 3.0解决方案中使用安全访问服务边缘》指南，旨在帮助联邦民用机构提升其零信任能力，并采用可信互联网连接（TIC）3.0计划支持的现代架构。该指南详细说明了TIC 3.0计划如何帮助各机构实现用户连接应用程序、数据和服务方式的现代化。美联邦机构将更好地理解、规划并成熟到零信任架构，以改善用户体验，提升可视性和控制，并支持与CISA服务的遥测共享。（信息来源：美CISA网站）

13

美NIST发布OT备份快速启动指南SP-1339

6月17日，美国家标准与技术研究院（NIST）发布运营技术（OT）备份快速启动指南SP-1339，以提升工业网络韧性，加速事件恢复。指南称，OT备份是事件响应和恢复的关键组成部分，使组织能够维持可靠的系统运行，并在网络事件后恢复服务。NIST建议组织首先识别对运营至关重要的OT资产，包括可编程逻辑控制器、分布式控制系统、监控控制与数据采集服务器、人机接口、防火墙和包含关键配置或操作数据的设备。此外，指南建议将备份整合进变更和风险管理流程，维护本地和异地冗余存储，通过哈希和工程验证方法验证备份完整性，并定期测试非生产系统的恢复程序。指南进一步强调保存工程文档、备件、固件、配置文件和专用软件的重要性，尤其是在遗留系统和供应链延误加剧修复工作的环境中。（信息来源：IndustrialCyber网）

14

“五眼联盟”网络安全机构联合发布声明

6月22日，“五眼联盟”网络安全机构联合发布声明，警告前沿AI模型仅需数月就会颠覆现有攻防格局，各机构安全风险假设即将过时，需采取前瞻性行动。声明称，AI已降低恶意攻击者门槛、提升攻击复杂度，不断缩短漏洞暴露至被利用的时间窗口，大幅加剧威胁态势，但其同时也能作为防御手段赋能安全运营。声明重新明确网络安全定位，指出网络风险早已不只是技术问题，而是关乎企业经营、信誉的核心业务风险，属于高层管理人员主体责任，要求董事会与管理层搭建具备承压能力的网络韧性体系，常态化落实安全设计与默认等准则，以纵深防御增进网络韧性。声明承认网络入侵难以完全杜绝，提出五项亟需落地的防护措施，包括限制系统外部暴露范围以缩小攻击面、提速补丁更新、整治易被攻击的老旧遗留系统、严格审查身份访问权限、常态化应急预案以实现风险快速处置。（信息来源：澳大利亚政府网站）

15

欧盟加入美国“硅和平”倡议

6月23日，经数月内部谈判，欧盟委员会签署由美国主导，旨在将中国排除在AI半导体供应链之外的非约束性意向声明“硅和平”倡议。该倡议由美国于2025年12月发起，旨在“解决关键矿产获取不足的问题，并应对中国在关键矿产和科技领域的大规模投资”。美国承诺该声明不具有约束力，将不限制对欧盟成员国的人工智能芯片出口。据悉，英国、日本、韩国、印度和澳大利亚以及荷兰、芬兰、瑞典、德国、希腊等欧盟成员国均已加入该倡议。（信息来源：EURACTIV网）

16

Gartner发布2026年网络安全领域八大发展趋势

6月24日消息，Gartner发布2026年网络安全领域八大发展趋势：一是身份识别与访问管理需升级转型，保障AI智能体安全并赋能其应用。二是后量子密码从理论风险走向实战部署。三是代理式AI需纳入程序化监管。四是全球监管环境动荡催生大规模网络韧性建设浪潮。五是AI与网络韧性重塑CISO职责边界。六是AI普惠化推动协同式数据安全治理。七是生成式AI突破传统网络安全意识策略。八是AI驱动的SOC解决方案颠覆安全运营常态。（信息来源：赛博研究院）

17

OpenAI扩大“破晓”网络安全计划

6月23日消息，OpenAI宣布扩大“破晓”网络安全计划，推出新的工具、模型和合作伙伴关系，旨在帮助防御者以前所未有的速度识别和修补软件漏洞。最新更新包括新增的Codex Security插件、更广泛的GPT-5.5-Cyber模型访问权、新的网络合作伙伴计划，以及“修复地球”项目。新的Codex Security插件能够发现、验证并修复漏洞。完整的GPT-5.5-Cyber模型将向可信赖的防御者开放。网络合作伙伴计划支持领先的安全公司。“修复地球”项目旨在保护关键的开源软件，专注于以机器速度加速漏洞修复。（信息来源：WinCentral网）

02 数据前沿快讯

18

国家网信办等三部门联合公布《网络数据安全风险评估办法》

6月18日，国家网信办、工信部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。《办法》明确了适用范围、评估机制和部门职责。规定有关主管部门根据工作需要对本行业、本领域重要数据处理者开展风险评估情况进行检查。《办法》明确了风险评估的有关要求、依据和形式。规定重要数据处理者应当每年度开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。鼓励一般数据处理者至少每3年开展一次风险评估。《办法》明确了评估机构的认证、培育、重大风险通知等要求。规定评估机构发现重大数据安全风险的，应当及时通知网络数据处理者。《办法》明确了风险评估报告的编制、报送与检查要求。《办法》明确了监督管理要求。规定省级以上有关部门发现网络数据处理者未按规定开展风险评估的，应当依法予以处理。（信息来源：网信中国）

19

住房城乡建设部、国家数据局发布关于全面建立房屋建筑统一代码制度的通知

6月18日，住房城乡建设部、国家数据局发布关于全面建立房屋建筑统一代码制度的通知。通知从代码标准、工作底图和赋码管理三方面统一房屋建筑赋码落图管理。房屋建筑统一代码遵循国家标准，空间底图统一采用CGCS2000坐标系与1985国家高程基准，搭建国家、省、市三级房屋建筑基础信息库并实现部门数据互通。推进新建、既有房屋及市政设施赋码落图，新建建筑需在施工许可前开展单体赋码，竣工验收阶段完成数据复核更新，住宅赋码到套（户）；既有房屋依托普查、城建档案等存量数据补全编码信息；探索市政设施全流程赋码规范。同时全方位拓展统一代码应用场景，实现工程建设“一码通用”、房屋管理“一码通管”、城市服务“一码通办”，建立基于统一代码的归档用档机制和数据治理机制，建设基于统一代码的高质量数据集。2027年底，实现新建房屋建筑统一代码赋码落图全覆盖，基本实现房屋建筑设计、施工、验收、交易、运维、更新改造等全生命周期“一码贯通”。2030年底前，全面建成房屋建筑全生命周期高质量数据集，不断提升房屋建筑全生命周期管理服务水平，增强城市智慧治理能力。（信息来源：国家数据局）

20

美两党议员提出“2026生物数据网络法案”

6月16日，美两党参议员提出“2026生物数据网络法案”，旨在集中美生物数据，加速生物技术研究，保护关键信息免受外国利用。该法案委托能源部长制定实施计划，两年内，其将选定一个能源部国家实验室来执行生物数据网络（WOBD），并开展试点项目，聚焦一组特定生物数据子类型、网络安全保护措施，以及研发项目。五年内，选定的国家实验室将把WOBD扩展为功能完备的生物数据单一访问平台，满足互操作性框架、质量标准、用户友好界面以及成熟的网络安全要求。第三方将每半年对WOBD网络安全保障措施进行一次独立评估，确保访问权限得到妥善管理。此次立法源自美参议院一份审查新兴生物技术对美“国家安全”影响的早期报告。该报告称中国利用公开数据的方式使其生物技术产业更加强大，引发对美竞争力和数据安全的担忧。（信息来源：NSCEB网站、MedPath）

21

美战争部拟建“战斗计算司令部”保障AI武器化

6月19日消息，美战争部首席技术官埃米尔·迈克尔披露，全军生成式AI平台GenAI.mil日常用户达150万，占350万总人员近半。该平台集成谷歌Gemini，将接入ChatGPT与Grok，主要用于提升文书效率；为防止AI幻觉，设有使用护栏；目前主要面向文职雇员，未大规模用于作战，各作战司令部均已具备访问权限。在作战辅助方面，AI可综合天气、资产位置及盟友动态，协助优化打击时机、减少误伤，并加速数字孪生、建模仿真与武器研发。迈克尔担忧算力瓶颈，2027财年“AI军火库”计划申请近300亿美元建超算，但美反数据中心运动及电力供应紧张可能制约发展。迈克尔提议将数据中心更名为“战斗计算司令部”以凸显战略地位。（信息来源：国防科技要闻）

03 网安事件聚焦

22

加拿大竞争情报AI平台Klue遭网络入侵

6月23日消息，加拿大竞争情报AI平台Klue遭网络入侵。攻击者利用集成至该平台的客户内部数据访问凭证，窃取了大量客户数据，包括姓名、电子邮件地址、电话号码、职位等业务联系信息，以及客户的一些账号信息。目前Recorded Future、HackerOne、Snyk等9家知名网安公司已披露受到影响。黑客组织Icarus宣称对此事件负责，威胁若Klue不支付赎金，将公开被窃数据。Klue称已聘请事件响应公司CrowdStrike并断开其集成功能，防止客户数据被进一步访问。（信息来源：安全内参）

23

印度德里关键污水处理厂完整访问权限遭兜售

6月23日，名为“基础设施破坏小队”的黑客组织在其Telegram频道上发帖,公开兜售对印度德里水务局旗下Coronation Pillar污水处理厂的完整访问权限。攻击者宣称已“完全攻破”该厂内部系统，成功获取Portainer和Cloud Commander等管理控制面板权限，从而具备了远程管理容器、文件及服务器的完整能力，并宣告完全掌控“整个公司的数字基础设施”。该组织披露共窃取764.12GB数据，涵盖超70万条经过完整分析的请求日志，2025年10月13日至11月27日两千余名独立访客流量明细，内部API端点分类，访客设备和地域等。目前印度德里水务局尚未回应此事件。（信息来源：网空闲话plus）

24

印度塔塔电子遭勒索攻击，泄露文件涉海康威视等企业

6月23日消息，印度塔塔电子确认遭勒索攻击。勒索软件组织World Leaks在暗网上发布超20万个文件、总计逾630GB数据，包含苹果与特斯拉的组件设计、规格文件及商业机密，以及塔塔电子制造产线的核心技术架构：中国海康威视的机器视觉软件、中国汇川技术H5U系列可编程逻辑控制器程序文件、日本基恩士工业软件等。塔塔称已立即启动响应协议，其业务未受影响，并拒绝就赎金要求置评。塔塔电子是苹果最大的iPhone制造合作伙伴之一，约占苹果在印度iPhone总产量的三分之一。（信息来源：TheStar网、网空闲话plus）

25

ShinyHunters曝光297GB欧洲委员会员工数据

6月21日消息，在其未按期交付赎金后，ShinyHunters曝光297GB欧洲委员会员工数据，并宣布所有文件将通过新镜像和种子下载网络永久公开。此次泄露源于甲骨文PeopleSoft人力平台中一个关键零日漏洞，该漏洞在甲骨文发出警告前已被100多个组织积极利用。泄露数据涵盖2011年至2026年欧洲委员会万余名员工超409,000份工资单、14,000多份简历、3,700多份内部人员档案、委员会人权案件处理机构的记录，以及来自秘书处、人力资源局、议会大会和欧洲药品与医疗质量局等多个理事会的数千份文件。欧洲委员会称正在调查此事件，但暂未通知被波及人员。（信息来源：TechTiMES网）

26

Dialog社团因网站代码疏漏导致内部记录泄露

6月16日消息，Dialog社团因网站代码疏漏致其内部记录被公开。瑞士黑客组织maia arfire crimew揭露，接匿名线索，Dialog社团网站代码中嵌入了其会员名单。随后该社团的内部记录遭泄露，包含注册会员、参与者和其他敏感个人信息。Dialog是一个私人、仅限邀请的社团，由亿万富翁科技投资者Peter Thiel于2006年共同创立，每年举行至少一次闭门聚会，议题如“重启核能”、“应对第三次世界大战”、“战场技术”和“如何建立教派”等。泄露名单包括北约欧洲最高盟军司令兼美欧司令格林克维奇将军、美财政部长斯科特·贝森特、美商务、科学与交通委员会主席克鲁兹、美陆军部长Dan Driscoll、美众议院情报委员会资深成员Jim Himes、Palantir联合创始人Joe Lonsdale、六名PayPal黑手党成员、一名前中东情报主管以及一名现任美国大使，以及许多美最大的数据经纪和广告数据公司的创始人和董事。（信息来源：WIRED网）

04 网安风险警示

27

国安部披露弹窗广告的间谍风险

6月21日消息，国安部披露，境外间谍情报机关与个别广告公司勾连，搭建监控平台，将广告公司回传数据与社交媒体信息、高精度定位等信息整合分析，精准勾勒目标人员的家庭住址、工作单位和日常出行轨迹，形成完整人员画像，进而实施针对性拉拢策反。境外间谍情报机关利用内容分发网络模式，在弹窗广告中夹带反华网站链接，通过某些临近地区节点，绕过我国网络监管体系，在我国境内网络环境中实现隐蔽投放。国安部提醒，网络平台运营者应严把内容审核关，谨慎投放来源不明确、内容不可控的第三方广告。广大用户尽可能关闭APP非必要定位、相册、通讯录等访问权限；视情重置本机广告标识符，关闭广告跟踪等相关权限；谨慎点击弹窗广告中“查看详情”“福利领取”等跳转按钮。若弹窗广告出现歪曲事实、攻击抹黑我国有关内容，要及时向国安机关进行举报。（信息来源：国家安全部）

28

国安部发布软件“供应链投毒”防范提醒

6月18日，国安部发文称近期开源软件仓库、商用工具集中爆发供应链投毒攻击，可致凭据窃取、远程代码执行和敏感数据泄露，引发全域系统危机，供应链各主体需协同防范：软件开发者只从官方渠道获取各类开源组件、插件和研发工具，依托国家级漏洞平台核查开源组件安全隐患；研发管理者建立软件物料清单管理制度，及时更换高风险老旧组件，重要系统上线前开展代码、依赖项及恶意代码检测；网络运维部门隔离开发、测试、生产环境，防止核心设备、代码仓库直接暴露在公网，对服务器异常外联、陌生进程、流量突增等异常行为及时处置，发现高危组件后迅速完成安全版本升级，或及时断网隔离、关停功能、回退安全版本；各单位明确供应链安全分管部门与责任人，将开源组件使用、第三方软件采购、系统上线验收、漏洞修复更新纳入日常管理；个人用户选择正规渠道下载软件，不安装破解版、不明插件，不运行陌生脚本指令等。（信息来源：中国信息安全）

29

国家网络安全通报中心：防范假冒公安机关恶意应用程序攻击

6月18日，国家网络安全通报中心通报，一款伪装成中国公安机关对外提供服务的“公安一网通办”恶意APP在互联网上传播，下载地址为110GongAn.com，IP地址为207.56.30.188。该APP安装包内置木马程序，通过社会工程学手段诱导用户下载，实现支付信息窃取和远程控制等恶意行为。用户一旦通过移动终端下载安装该APP，攻击者可控制用户终端设备、获取对应访问权限，实施窃密等攻击行为。为保护个人信息和财产安全，建议广大用户做好安全防范：一是认准正规下载渠道。二是严格审核应用真伪。三是审慎开放手机权限。四是及时处置异常情况。如不慎安装虚假政务应用，请立即卸载并开展设备安全查杀；若已发生信息泄露或资金异常，第一时间修改账户密码、冻结支付渠道，并向公安机关报案。（信息来源：国家网络安全通报中心）

30

NGINX开源版中存在两个严重漏洞

6月22日消息，反向代理和Web服务器NGINX开源版中存在两个远程代码执行漏洞。其中CVE-2026-42530（CVSS评分9.2）为模块释放后使用漏洞。攻击者可通过特制HTTP/3会话重新打开QPACK编码器流来触发此漏洞。CVE-2026-42055（CVSS评分9.2）是ngx_http_proxy_v2_module和ngx_http_grpc_module中的堆缓冲区溢出漏洞。攻击者使用proxy_http_version2或grpc_pass指令代理HTTP/2流量，ignore_invalid_headers指令关闭，且large_client_header_buffers指令大小大于2MB时，可触发该漏洞。目前上述漏洞已被修复，建议用户立即更新。（信息来源：代码卫士）

31

libssh2库中存在远程代码执行漏洞

6月24日消息，libssh2库中存在远程代码执行漏洞CVE-2026-55200（CVSS评分9.2），影响libssh2 1.11.1及之前版本。漏洞源于ssh2_transport_read（）函数未能正确验证入站SSH包中的packet_length字段。攻击者可为packet_length提供过大值，触发整数溢出，导致堆写入出界，导致堆内存损坏，导致崩溃、拒绝服务（DoS）问题，甚至可能导致使用libssh2安全通信系统的系统全面入侵。目前官方补丁可通过GitHub仓库获取，建议用户尽快升级。（信息来源：CyberSecurityNews网）

本文来源：国家信息技术安全研究中心官方网站

本文编辑：林青

国家信息技术安全研究中心

地址：北京市海淀区农大南路1号硅谷亮城2C座

业务联系：010-59613856

往期推荐

安全动态丨网络空间安全动态第338期

安全动态丨网络空间安全动态第337期

安全动态丨网络空间安全动态第336期

安全动态丨网络空间安全动态第335期

安全动态丨网络空间安全动态第334期

点赞在看转发是对我们最好的支持

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：极客安全 国信中心 国信中心《安全动态丨网络空间安全动态第339期》