1、新公布文件显示美国政府手机监控规模异乎寻常
美国公民自由联盟公布新文件，其显示美国国土安全部使用手机定位监控公民信息的规模比之前预估的大得多。

美国政府监控公民信息早已不是新鲜事，但这次新文件展现出的监视规模还是让人感到震撼——简单来说，每分钟就会采集26次地理位置信息，这个精度可以把公民全天的轨迹绘制出精准的地图——而且都是没有搜查相关文件授权下的行为。监控涉及的数据公司Venntel也被置于聚光灯下，它作为代理人可以让政府方便得绕过法律实现手机信息监控。目前Venntel和国土安全部均未对新文件发表评论。[阅读原文]



 

2、Roaming Mantis恶意软件重心偏向移动端用户短期感染数万用户
之前曾对德国、中国、韩国、日本、美国和英国发动攻击的Roaming Mantis转移了工作重心，开始针对移动端用户发动攻击，短期就感染了数万台设备。

该黑客组织主要追求经济收益，此前以欧洲目标为主，后来逐渐将业务扩展到全球范围。最近，安全研究员监测到他们通过短信方式钓鱼，用户一旦安装了恶意软件，账号密码就有可能被窃取。

目前此组织的网络基础设施仍正常运作，各个机构和企业应及时将其IoC加入防护系统中。[阅读原文]



 

3、FBI提醒钓鱼加密货币投资应用已揽千万美元资金
FBI发布安全警告，提醒用户防范黑客开发的”盗版“加密货币投资应用，据统计，此应用成功骗得244名受害者价值共4270万美元加密货币。

这次行动黑客还设立了公司让钓鱼应用看起来更正规，Yibit和Supayos两家去年注册的公司都为黑客所有。他们会想尽办法取得受害者信任，诱导受害者安装钓鱼应用，最终把资金转入黑客账户。

安全研究员提醒，加密货币钓鱼屡见不鲜，但每次都会有人中招，损失也大得离谱，重金在手还是多看看官方消息。[阅读原文]



 

4、谷歌未删除违法信息被俄罗斯政府处以3.58亿美元罚款
莫斯科法院宣判，对谷歌处以3.58亿美元罚款，以惩罚该公司未及时删除违法信息。

根据文件所述，违法信息包括乌克兰特别军事行动的信息、宣扬极端主义和恐怖主义的信息、宣扬影响未成年人生命和健康的信息、鼓励公民参与未经授权军事行动的信息等。俄罗斯互联网监管机构对谷歌和Youtube提出多次要求，但谷歌无动于衷，于是俄罗斯政府决定使用法律武器来解决。根据行政犯罪法典，几次未删除违法信息理应被分别处以几百万美元的罚款，但多次违反，数罪并罚，最终以营业额计算出此次的3.58亿美元巨额罚款。

上周Twitch直播平台刚刚被同样的方式整治，这对刚刚因反假新闻法申请破产的谷歌俄罗斯子公司来说无疑是雪上加霜。

全方位筑牢数字安全长城

 近日，国家互联网信息办公室正式公布《数据出境安全评估办法》（以下简称《办法》），就个人信息和重要数据的出境安全评估管理措施提供具体的法律解决方案，明确了数据出境安全评估的目的、原则、范围、程序和监督机制等具体规定，对保护我国国家安全、公共利益、个人合法权益和促进数字经济发展具有重要的里程碑意义。

  我国建立健全数据跨境管理规则

  随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。我国作为世界数据资源大国之一，面临的数据安全风险相较于其他国家也更大，亟须建立健全数据跨境管理规则。同时，由于不同国家和地区法律制度、保护水平等的差异，数据出境安全风险也相应增大。数据跨境活动既影响个人信息权益，又关系国家安全和社会公共利益。

  为此，我国加快完善数据出境安全管理制度，2016年11月通过的《网络安全法》第三十七条规定了对关键信息基础设施运营者的重要数据和个人信息需进行安全评估。2021年6月通过的《数据安全法》第三十一条在重申关键信息基础设施运营者的重要数据出境的安全评估要求之外，还进一步规定“其他数据处理者”的重要数据出境也需进行安全评估。2021年8月通过的《个人信息保护法》第三十八条第一款第一项和第四十条，在重申关键信息基础设施运营者的个人信息出境安全评估要求之外，还进一步规定“达到国家网信部门规定数量的个人信息处理者”的个人信息出境也需进行安全评估。由此，上述三大立法全面建立起数据出境的基础性制度——安全评估制度。

  《办法》不仅是对《网络安全法》《数据安全法》《个人信息保护法》等法律法规中“出境数据安全评估”规定的细化落实，也是保护我国基础性战略资源和国家安全的关键措施。《办法》将进一步规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

  《办法》保障数据依法有序流动

  国家工业信息安全发展研究中心总工程师黄鹏表示：“《办法》立足维护国家安全和社会公共利益、保护个人信息权益，构建了我国数据出境安全评估的制度，将事前评估和持续监督相结合、风险自评估与安全评估相结合，防范数据出境安全风险，保障数据依法有序自由流动。”

  其中，事前评估和持续监督相结合原则明确安全评估不仅关注数据出境前对出境后可能出现的风险的评估和所要采取的安全保障措施，还关注数据出境后风险发生的变化以及原有措施的有效性，因而该原则建立起数据出境风险全过程的动态评估机制。

  同时，评估决定2年有效期的规定保障了企业参与全球数字经济建设的持续性和连贯性。《办法》第十四条明确安全评估结果有效期为2年，意味着数据处理者可以申报2年内对特定境外接收方的数据出境计划，极大方便企业开展连续性数据出境业务，促进全球数字经济发展。这种设置带来了相对的制度优势。

  “对于数据出境，不仅仅对数据处理者，还要对数据接收者进行评估。”中国科学院科技战略咨询研究院系统分析与管理研究所副所长、研究员孙晓蕾表示，“面对复杂的国际形势，我国出于维护自身数据安全的需要，对数据接收者进行严格评估是极其必要的。特别是，境外接收方所在国家或者地区的数据安全保护政策法规及网络安全环境对出境数据安全的影响，以及境外接收方的数据保护水平是否达到我国法律、行政法规规定和强制性国家标准的要求，应是评估重点。”

  此外，针对法律文件的签订，明确要求境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化导致难以保障数据安全时，应当采取安全措施。这两项规定，能够更好地避免出境数据被恶意利用而产生各类风险。