2025年3月份网络安全月报
发布时间：2025-04-07
2025年03月份网络安全月报
以下是2025年03月份国家新发布的法规政策以及行业相关动态：
发布时间：2025-03-04
发布链接：
https://mp.weixin.qq.com/s/iZ37O4Dh8a_N0YwL77YHIA?scene=25&sessionid=-702834360#wechat_redirect
内容概要：
3月4日，全国网安标委就《网络安全标准实践指南——个人信息保护合规审计 专业机构服务能力要求（征求意见稿）》（以下简称“《指南》”）主要内容如下：
一、基本条件要求。专业机构需在境内注册并具备独立法人资格，法定代表人及高管无犯罪记录，未被列入失信被执行人等负面清单；近3年无网络安全相关行政处罚，无服务违规行为；具备个人信息保护相关服务案例。
二、管理体系要求。专业机构应建立责任制度、人员管理、方案审核、报告审核等核心管理制度；实施审计前风险分析与应对措施，制定应急预案，采用安全审计工具并全流程留痕；通过年度自查、人员培训、投诉处理机制及技术跟踪优化等，保障服务能力迭代。
三、技术能力要求。专业机构应当掌握个人信息保护法律法规及标准，熟悉行业领域监管要求；具备信息处理活动范围识别、信息类型分级、处理环节分析、保护措施验证及合规性检测能力；使用合规审计工具开展检测，依据国家标准形成审计细则。
四、人员能力要求。专业机构需配备17名以上持证人员（含2名高级、5名中级、10名初级），设专职高级负责人。高级人员需通过高级培训认证，具备高级职称或3年中级从业经验；中级人员需具备本科及以上学历，从事相关工作2-4年并通过中级认证；初级人员需具备本科及以上学历，通过初级培训认证。
五、场所与设备资源要求。专业机构应当具备固定办公场所，符合安全管理规范，配备防火、访问控制等设施；配备审计专用软硬件工具，实施使用前验证、定期维护及数据清除机制，建立设备档案管理制度，提供资源配置说明。
此外，《指南》还明确了禁止行为规范，禁止审计机构与被审计对象存在利益关联、隐瞒审计问题、超权限操作数据、泄露商业秘密、转委托审计等违规行为，以强化审计独立性与公正性。
发布时间：2025-03-12
发布链接：
https://www.cac.gov.cn/2025-03/12/c_1736736198629316.htm
内容概要：
中国网信网发布了最新的通过云计算服务安全评估的云平台名单。共82个云平台通过云计算服务安全评估,覆盖政务、金融等领域，涉及华为、阿里云、腾讯云等企业。
部分内容截图如下，附件内容详情请看链接：
https://www.cac.gov.cn/cms/pub/interact/downloadfile.jsp?filepath=NUtqEIwGiCjGm2Bhl20cvG20NmBpcDdui04Gc7NeTxbV6Nbp2lQyoiou~EIcIDL~rWnuRn6XWlWXiyETyyJi~FAfqphfFn00jUfFRLdBE5I=&fText=%E9%80%9A%E8%BF%87%E4%BA%91%E8%AE%A1%E7%AE%97%E6%9C%8D%E5%8A%A1%E5%AE%89%E5%85%A8%E8%AF%84%E4%BC%B0%E7%9A%84%E4%BA%91%E5%B9%B3%E5%8F%B0
发布时间：2025-03-14
发布链接：
https://www.cac.gov.cn/2025-03/14/c_1743654684782215.htm
内容概要：
国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局联合发布《人工智能生成合成内容标识办法》，自2025年9月1日起施行。办法明确要求网络信息服务提供者对利用AI技术生成合成的文本、图片、音频、视频、虚拟场景等内容添加显式标识（如文字、语音、图形提示）和隐式标识（如元数据、数字水印）。显式标识需在内容交互界面或文件显著位置呈现；隐式标识需嵌入文件元数据，记录内容属性、服务提供者信息等。传播平台需核验标识，用户发布生成内容应主动声明；应用程序分发平台需审核服务提供者的标识合规性。服务提供者需在用户协议中说明标识规范，违规删除、篡改或伪造标识将依法处理。
发布时间：2025-03-15
发布链接：
https://mp.weixin.qq.com/s/lWGGvMNXokh4-0HQFV-7LA
内容概要：
为落实《中华人民共和国个人信息保护法》，进一步提升个人信息保护效果，中国网络空间安全协会、中国消费者协会、新华网在“国际消费者权益日”之际，共同编制了《个人信息超范围收集与泄露问题分析研究报告》。
研究报告聚焦个人信息超范围收集和泄露问题，通过梳理我国当前个人信息超范围收集与泄露的情况，结合已经处置的11个典型案例，指出个人信息超范围收集和泄露的典型问题，主要是个人和企业能力与信息不对称加剧信息滥用、技术防护不足导致泄露频发、海量数据汇集放大泄露后果等。从企业、个人和技术三个层面究其原因，分别是企业合规缺位与安全管理缺失、个人判断能力欠缺与寻求救济困难、保护与利用在技术上存在冲突等。
发布本报告旨在唤起社会各界对这一问题的进一步关注和重视，为企业、法律从业者和广大网民提供参考，共同构建更加安全、可靠、透明的个人信息处理环境，让个人信息在数字空间中得到进一步的尊重和保护。
报告原文详情请看链接：
https://xhsc.app.xinhuanet.com/cms/article/image/0fbd0326bf84472fb243835c23f25c8a.pdf
发布时间：2025-03-21
发布链接：
https://www.cac.gov.cn/2025-03/21/c_1744174262156096.htm内容概要：
近日，国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》，自2025年6月1日起施行。《办法》明确了应用人脸识别技术处理人脸信息的基本要求。应用人脸识别技术处理人脸信息活动，应当遵守法律法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行个人信息保护义务，承担社会责任，不得危害国家安全、损害公共利益、侵害个人合法权益。
《办法》规定，处理人脸信息前需向个人告知处理者信息、处理目的、方式、保存期限等事项，基于个人同意处理信息的，应取得个人自愿、明确的单独同意，个人有权撤回同意。处理不满十四周岁未成年人人脸信息的，应取得监护人同意并制定专门处理规则。除法律另有规定或取得个人单独同意外，人脸信息应存储于设备内，不得通过互联网传输，且保存期限不得超过实现处理目的所必需的最短时间。
此外，《办法》还要求应用人脸识别技术前进行个人信息保护影响评估，鼓励优先使用国家相关渠道验证个人身份，减少人脸信息收集与存储。任何组织和个人不得误导、欺诈、胁迫个人接受人脸识别技术验证身份。在公共场所安装人脸识别设备应为维护公共安全所必需，依法合理确定采集区域并设置显著提示标识，且不得在特定私密空间内部安装。人脸识别技术应用系统需采取多种措施保护人脸信息安全。违反本办法规定的，将依照有关法律、行政法规处理，构成犯罪的，依法追究刑事责任。
发布时间：2025-03-24
发布链接：
https://www.oscca.gov.cn/sca/hdjl/2025-03/21/content_1061245.shtml
内容概要：
为了规范电子认证服务使用密码行为,保障电子认证服务使用密码安全,根据《中华人民共和国电子签名法》、《中华人民共和国密码法》和《商用密码管理条例》等有关法律法规,国家密码管理局研究起草了《电子认证服务使用密码管理办法(征求意见稿)》,现向社会公开征求意见。公众可通过以下途径和方式提出意见:
1.登录国家密码管理局门户网站(网址:www.nca.gov.cn),进入首页“互动交流—意见征集”栏目提出意见。
2.电子邮件发送至:gmzcfg@sca.gov.cn,邮件主题请注明“《电子认证服务使用密码管理办法》反馈意见”字样。
3.信函寄至:北京市丰台区靛厂路7号国家密码管理局政策法规室(邮政编码:100036),信封上请注明“《电子认证服务使用密码管理办法》反馈意见”字样。
征求意见时间为2025年3月21日至2025年4月21日。
附件内容详情请看链接：
2.关于《电子认证服务使用密码管理办法（征求意见稿）》的说明 https://www.oscca.gov.cn/sca/hdjl/2025-03/21/1061245/files/4b7415d35c1c4cc7aa536eb7fea13d19.doc
事件概况：
近期，国家计算机病毒应急处理中心发布预警报告称，在我国境内出现了“银狐”木马病毒最新变种，该病毒主要通过微信群传播，以网络钓鱼形式，通过电脑上的即时通信类软件短时间拉大量群发送诈骗链接，通过构造奖金、财务、税务违规稽查通知等主题的钓鱼信息，进行经济诈骗。银狐系列木马的传播途径包括：
钓鱼邮件攻击。通过伪装身份，冒充合作伙伴、政府单位发送含恶意附件的邮件（如“招标合同.docx”、“财务对账单.xlsx”）。邮件包含一些携带宏病毒的Office文档（诱导用户启用宏后下载木马）或者包含压缩包，内嵌伪装成PDF的.scr或.js脚本；
供应链污染。通过捆绑或者篡改企业常用软件（如财务系统、工业设计工具）的安装包，植入木马后通过官网或第三方平台分发。或者攻击Python的PyPI库、Node.js的npm仓库，上传含后门的开源组件；
电脑漏洞利用。利用未修复的系统漏洞，如Windows SMB漏洞（永恒之蓝）、Apache Log4j2漏洞（Log4Shell）等未修复的漏洞进行传播。针对企业VPN、防火墙设备的未公开漏洞实施渗透；
U盘或者移动存储设备。通过感染U盘或者移动存储设备自动复制到接入设备，或利用弱口令入侵企业内网共享文件夹；
如何防范：
1、及时更新电脑操作系统、杀毒软件及防火墙至最新版本，并定期查杀，以抵御各种木马软件和恶意软件攻击。
2、办公电脑应设置不操作时自动锁屏，离开办公室时，应及时退出即时通讯软件客户端或关闭电脑运行，建议关闭即时通讯软件客户端自动登录功能。
3、及时将即时通讯软件客户端升级到最新版本。
4、对客户端提示有异常登录行为应及时检查软件中的信任设备
5、谨慎点击来自不明来源的文件或网址链接，重点留意[.exe]、[.zip]、[.rar]、[.7z]、[.tgz]、[.cab]、[.bat]、[.com]、[.chm]、[.iso]、[.msi]后缀格式的文件。
6、不要随意下载和安装未经官方认证的软件，防止软件携带恶意代码入侵系统。
7、避免在别人的手机或公共电脑等不安全环境上使用即时通讯软件，一机多人使用的情况使用完要立刻退出登录，且不要设置自动登录。
事件概况：
国家计算机病毒应急处理中心监测发现15款移动应用存在隐私不合规行为，这些问题主要集中在以下几个方面：
一、告知不充分。部分移动应用在处理个人信息前，未以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方式、个人信息的保存期限等。
二、隐私政策不完善。部分移动应用的隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。
三、未取得单独同意。部分移动应用在向其他个人信息处理者提供其处理的个人信息时，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
四、用户权利保障不足。部分移动应用未提供有效的更正、删除个人信息及注销用户账号功能；需人工处理的，未在承诺时限内完成核查和处理。
五、投诉举报处理不及时。部分移动应用对用户的投诉、举报未在承诺时限内受理并处理。
六、撤回同意途径缺失。部分移动应用未向用户提供撤回同意收集个人信息的途径、方式，侵犯了用户对其个人信息收集的控制权。
七、自动化决策问题。部分移动应用通过自动化决策方式向个人进行信息推送、商业营销，未同时提供不针对其个人特征的选项，或者未向个人提供便捷的拒绝方式。
八、敏感信息处理不当。部分移动应用在处理敏感个人信息时未取得个人的单独同意，增加了用户隐私泄露的风险。
附件内容请查看链接：
https://www.cverc.org.cn/zxdt/report20250307.htm
如何防范：
1、用户隐私保护意识：用户在下载和使用移动应用时，应谨慎对待隐私政策，认真阅读用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息。
2、选择可靠应用：用户应尽量从官方渠道下载应用，避免下载来源不明的应用，同时关注应用的评价和用户反馈，选择信誉良好的应用。
3、定期维护个人信息：用户应定期维护和清理相关数据，避免个人隐私信息长期留存于应用中，降低泄露风险。
4、应用商店审核加强：应用商店应加强对上架应用的审核，确保应用符合相关法律法规和隐私政策要求，对存在隐私问题的应用及时下架或要求整改。
5、监管力度加大：相关部门应加强对移动应用的监管，定期进行检测和抽查，对违规行为及时查处，并建立长效的监管机制，保障用户隐私安全。
6、隐私政策透明化：移动应用开发者应完善隐私政策，明确列出收集使用个人信息的目的、方式、范围等信息，确保用户知情权。
7、用户权利保障机制：移动应用应提供有效的更正、删除个人信息及注销用户账号功能，并在承诺时限内完成人工处理的核查和处理，保障用户对其个人信息的控制权。
8、加强法律意识：移动应用开发者和运营者应增强法律意识，严格遵守相关法律法规，确保应用的开发和运营符合隐私保护要求。
事件概况：
ESET披露微软将在2025年3月的“补丁星期二”更新中修复Windows 10系统中的高危漏洞CVE-2025-24983，该漏洞存在于Win32内核子系统，允许攻击者在满足复杂条件下从低权限账户提升至SYSTEM权限，严重威胁系统安全。证据显示，2023年3月起黑客组织已利用该漏洞通过PipeMagic后门程序发起攻击，导致软件崩溃、恶意代码执行、权限提升或数据损坏等后果。
CVE-2025-24983不仅影响Windows 10，还波及到已停止官方支持的Windows Server 2012 R2和Windows 8.1，以及仍在支持期内的Windows Server 2016和特定版本的Windows 10（版本1809及更早）。
在2025年3月的“补丁星期二”更新中，微软还紧急修复了另外五个被标记为“正在被利用”的零日漏洞，包括两个Windows NTFS信息泄露漏洞（CVE-2025-24984和CVE-2025-24991）、一个Windows Fast FAT文件系统驱动远程代码执行漏洞（CVE-2025-24985）、一个Windows NTFS远程代码执行漏洞（CVE-2025-24993），以及一个Microsoft管理控制台安全功能绕过漏洞（CVE-2025-26633）。美国网络安全与基础设施安全局（CISA）将这六大漏洞全部纳入其“已知被利用漏洞目录”，并要求联邦文职行政分支（FCEB）机构在4月1日前完成所有相关漏洞的修复工作，以降低遭受攻击的风险。
如何防范：
事件概况：
2025 年 3 月 15 日晚，3·15 晚会揭示了 “大数据获客软件” 盗取用户隐私的乱象。过去一年，不少商家以 “精准获客” 为卖点，推出能获取消费者购物偏好、手机号等信息的软件。
云企智能科技公司的 “云客引流” 软件，整合了短视频、资讯、导航、购物等应用功能。业务经理称，该软件可设置关键词标签，在短视频平台评论区扫描匹配内容，私自获取用户电话、微信等信息，还能窃取同行直播带货数据。绿信科技的 “点点蚁” 软件同样通过短视频平台，迅速抓取用户个人信息。
此外，企腾网络的 “火眼云” 软件，号称拥有 20 亿条精准人群画像，能抓取目标人群手机号，已将大量个人信息卖给企业。该软件还能悄悄获取企业公众号关注用户、微信群成员以及阅读、转发文章用户的手机号。
另一家公司智优擎网络科技公司则表示掌握大量分类详细的个人信息，客户指定区域后，系统可展示该地区及各行业个人信息数量。例如，在金牛区附近划定范围，可获取 130 万条相关数据。这些数据被隐藏在企业信息中销售，以规避风险。
启科科技有限公司一位何经理表示其销售的手机号码用户画像精准，转化率高，因此数据信息定价较高。他们能通过三网（三家电信运营商）抓取指定电话用户及浏览特定网站、App的用户信息。其“精准通客户管理平台”可访问电信运营商后台实时数据，按地区、性别、年龄等多维度获取用户信息。
根据《中华人民共和国民法典》的相关规定，自然人享有隐私权，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。截至发稿，上述几家公司均未作出回应。
如何防范：
事件概况：
3月17日，“国家安全部”微信公众号发文《台资通电军“倚网谋独”终是死路一条》。台湾资通电军自2017年成立以来，充当“台独”势力工具，在民进党当局指挥下，对大陆实施网络攻击、渗透、窃密和反宣破坏活动。他们攻击大陆关键基础设施，窃取党政军企机密，并操控舆论、散布虚假信息，以干扰两岸认知。该组织内部混乱，层级互相推卸责任，甚至涉及贪污、诈骗等丑闻。国家安全机关已查获多个网攻平台，精准打击其网络间谍活动，并依法彻查幕后黑手，肃清安全隐患。官方警告“台独”网军头目及胁从人员，分裂行径终将失败，国家安全机关将依法终身追责。同时提醒各类网络服务提供商、网站运营者加强安全防范，广大网民提高警惕，防范“台独”网军的攻击和虚假信息，并鼓励公众通过官方渠道举报可疑网络间谍活动，共同维护国家安全。文中还公开了四名网攻分子身份信息。
如何防范：
事件概况：
近日，青海省互联网信息办公室依法对海西州某公司存在的网络数据安全违法行为进行行政处罚，开出青海省首张网络数据安全“罚单”。青海省互联网信息办公室针对有关问题线索充分调查取证，依法查明海西州某公司存在不履行网络安全、数据安全保护义务行为，其办公OA系统未采取技术措施和其他必要措施保障数据安全，存在未授权访问漏洞，造成企业部分数据泄露。
青海省互联网信息办公室依据《中华人民共和国数据安全法》第四十五条第一款规定，对该公司作出责令改正，给予警告，并处5万元罚款的行政处罚，对直接主管人员和其他责任人员分别处以1万元罚款处罚。
依据相关法律规定，企业应牢固树立合规意识，规范数据处理行为，完善数据安全防护技术措施，严格履行主体责任，切实维护网络安全和数据安全。青海省互联网信息办公室将持续强化网络安全、数据安全等领域执法，加大违法违规行为处置力度，有效筑牢网络安全、数据安全保护屏障, 为全省经济社会发展稳定大局提供有力网信支撑和保障。
如何防范：
1、企业自身管理：企业要强化数据安全意识，完善数据安全制度，对数据收集、存储、使用等环节进行规范。明确数据分类分级，针对不同级别数据制定相应保护策略，重点保护核心业务与敏感数据。
2、技术防护措施：部署网络安全防护系统，如防火墙、入侵检测系统等，防止外部攻击。采用数据加密技术，对重要数据进行加密处理，确保数据安全。实施访问控制与身份认证，限制敏感数据访问权限，采用多因素认证方式。
3、人员培训与管理：定期开展数据安全培训，提高员工数据安全操作技能，避免人为失误。明确人员在数据安全方面的责任，签订保密协议，严肃处理违规行为。
事件概况：
3月21日上午，社交媒体上有大量长城汽车车主发帖称，长城汽车旗下多个APP出现故障，未带钥匙的车主长时间无法打开车门。根据用户发布内容来看，本次APP崩溃事件涉及长城汽车旗下魏牌、哈弗、坦克等多个品牌的APP。
当天下午，长城汽车APP团队发布致歉信称，由于云服务器通讯于2025年3月21日9:30突发异常，导致长城汽车APP以及旗下五品牌APP部分功能失效，出现了短暂的无法登录或正常使用的状况。问题发生后，技术团队第一时间联合云厂商展开修复工作，经过争分夺秒的努力，2025年3月21日10:30各APP均已恢复正常使用。
如何防范：
一、 国家安全动态、政策和法规
定期了解国家安全动态、政策和法规，以及相关行业规范标准，有助于完善单位自身的信息安全管理体系。以下是2025年03月份国家新发布的法规政策以及行业相关动态：
1.1全国网安标委发布《网络安全标准实践指南——个人信息保护合规审计 专业机构服务能力要求（征求意见稿）》
发布来源：“全国网安标委”公众号发布时间：2025-03-04
发布链接：
https://mp.weixin.qq.com/s/iZ37O4Dh8a_N0YwL77YHIA?scene=25&sessionid=-702834360#wechat_redirect
内容概要：
3月4日，全国网安标委就《网络安全标准实践指南——个人信息保护合规审计 专业机构服务能力要求（征求意见稿）》（以下简称“《指南》”）主要内容如下：
一、基本条件要求。专业机构需在境内注册并具备独立法人资格，法定代表人及高管无犯罪记录，未被列入失信被执行人等负面清单；近3年无网络安全相关行政处罚，无服务违规行为；具备个人信息保护相关服务案例。
二、管理体系要求。专业机构应建立责任制度、人员管理、方案审核、报告审核等核心管理制度；实施审计前风险分析与应对措施，制定应急预案，采用安全审计工具并全流程留痕；通过年度自查、人员培训、投诉处理机制及技术跟踪优化等，保障服务能力迭代。
三、技术能力要求。专业机构应当掌握个人信息保护法律法规及标准，熟悉行业领域监管要求；具备信息处理活动范围识别、信息类型分级、处理环节分析、保护措施验证及合规性检测能力；使用合规审计工具开展检测，依据国家标准形成审计细则。
四、人员能力要求。专业机构需配备17名以上持证人员（含2名高级、5名中级、10名初级），设专职高级负责人。高级人员需通过高级培训认证，具备高级职称或3年中级从业经验；中级人员需具备本科及以上学历，从事相关工作2-4年并通过中级认证；初级人员需具备本科及以上学历，通过初级培训认证。
五、场所与设备资源要求。专业机构应当具备固定办公场所，符合安全管理规范，配备防火、访问控制等设施；配备审计专用软硬件工具，实施使用前验证、定期维护及数据清除机制，建立设备档案管理制度，提供资源配置说明。
此外，《指南》还明确了禁止行为规范，禁止审计机构与被审计对象存在利益关联、隐瞒审计问题、超权限操作数据、泄露商业秘密、转委托审计等违规行为，以强化审计独立性与公正性。
1.通过云计算服务安全评估的云平台
发布来源：中国网信网发布时间：2025-03-12
发布链接：
https://www.cac.gov.cn/2025-03/12/c_1736736198629316.htm
内容概要：
中国网信网发布了最新的通过云计算服务安全评估的云平台名单。共82个云平台通过云计算服务安全评估,覆盖政务、金融等领域，涉及华为、阿里云、腾讯云等企业。
部分内容截图如下，附件内容详情请看链接：
https://www.cac.gov.cn/cms/pub/interact/downloadfile.jsp?filepath=NUtqEIwGiCjGm2Bhl20cvG20NmBpcDdui04Gc7NeTxbV6Nbp2lQyoiou~EIcIDL~rWnuRn6XWlWXiyETyyJi~FAfqphfFn00jUfFRLdBE5I=&fText=%E9%80%9A%E8%BF%87%E4%BA%91%E8%AE%A1%E7%AE%97%E6%9C%8D%E5%8A%A1%E5%AE%89%E5%85%A8%E8%AF%84%E4%BC%B0%E7%9A%84%E4%BA%91%E5%B9%B3%E5%8F%B0
1.3 四部门联合发布《人工智能生成合成内容标识办法》
发布来源：中国网信网发布时间：2025-03-14
发布链接：
https://www.cac.gov.cn/2025-03/14/c_1743654684782215.htm
内容概要：
国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局联合发布《人工智能生成合成内容标识办法》，自2025年9月1日起施行。办法明确要求网络信息服务提供者对利用AI技术生成合成的文本、图片、音频、视频、虚拟场景等内容添加显式标识（如文字、语音、图形提示）和隐式标识（如元数据、数字水印）。显式标识需在内容交互界面或文件显著位置呈现；隐式标识需嵌入文件元数据，记录内容属性、服务提供者信息等。传播平台需核验标识，用户发布生成内容应主动声明；应用程序分发平台需审核服务提供者的标识合规性。服务提供者需在用户协议中说明标识规范，违规删除、篡改或伪造标识将依法处理。
1.4 中消协、网安协会、新华网联合发布《个人信息超范围收集与泄露问题分析研究报告》
发布来源：“中国网络空间安全协会”公众号发布时间：2025-03-15
发布链接：
https://mp.weixin.qq.com/s/lWGGvMNXokh4-0HQFV-7LA
内容概要：
为落实《中华人民共和国个人信息保护法》，进一步提升个人信息保护效果，中国网络空间安全协会、中国消费者协会、新华网在“国际消费者权益日”之际，共同编制了《个人信息超范围收集与泄露问题分析研究报告》。
研究报告聚焦个人信息超范围收集和泄露问题，通过梳理我国当前个人信息超范围收集与泄露的情况，结合已经处置的11个典型案例，指出个人信息超范围收集和泄露的典型问题，主要是个人和企业能力与信息不对称加剧信息滥用、技术防护不足导致泄露频发、海量数据汇集放大泄露后果等。从企业、个人和技术三个层面究其原因，分别是企业合规缺位与安全管理缺失、个人判断能力欠缺与寻求救济困难、保护与利用在技术上存在冲突等。
发布本报告旨在唤起社会各界对这一问题的进一步关注和重视，为企业、法律从业者和广大网民提供参考，共同构建更加安全、可靠、透明的个人信息处理环境，让个人信息在数字空间中得到进一步的尊重和保护。
报告原文详情请看链接：
https://xhsc.app.xinhuanet.com/cms/article/image/0fbd0326bf84472fb243835c23f25c8a.pdf
1.5《人脸识别技术应用安全管理办法》公布，6月1日起施行
发布来源：中国网信网发布时间：2025-03-21
发布链接：
https://www.cac.gov.cn/2025-03/21/c_1744174262156096.htm内容概要：
近日，国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》，自2025年6月1日起施行。《办法》明确了应用人脸识别技术处理人脸信息的基本要求。应用人脸识别技术处理人脸信息活动，应当遵守法律法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行个人信息保护义务，承担社会责任，不得危害国家安全、损害公共利益、侵害个人合法权益。
《办法》规定，处理人脸信息前需向个人告知处理者信息、处理目的、方式、保存期限等事项，基于个人同意处理信息的，应取得个人自愿、明确的单独同意，个人有权撤回同意。处理不满十四周岁未成年人人脸信息的，应取得监护人同意并制定专门处理规则。除法律另有规定或取得个人单独同意外，人脸信息应存储于设备内，不得通过互联网传输，且保存期限不得超过实现处理目的所必需的最短时间。
此外，《办法》还要求应用人脸识别技术前进行个人信息保护影响评估，鼓励优先使用国家相关渠道验证个人身份，减少人脸信息收集与存储。任何组织和个人不得误导、欺诈、胁迫个人接受人脸识别技术验证身份。在公共场所安装人脸识别设备应为维护公共安全所必需，依法合理确定采集区域并设置显著提示标识，且不得在特定私密空间内部安装。人脸识别技术应用系统需采取多种措施保护人脸信息安全。违反本办法规定的，将依照有关法律、行政法规处理，构成犯罪的，依法追究刑事责任。
1.6 国家密码管理局发布《电子认证服务使用密码管理办法（征求意见稿）》
发布来源：国家密码管理局官网发布时间：2025-03-24
发布链接：
https://www.oscca.gov.cn/sca/hdjl/2025-03/21/content_1061245.shtml
内容概要：
为了规范电子认证服务使用密码行为,保障电子认证服务使用密码安全,根据《中华人民共和国电子签名法》、《中华人民共和国密码法》和《商用密码管理条例》等有关法律法规,国家密码管理局研究起草了《电子认证服务使用密码管理办法(征求意见稿)》,现向社会公开征求意见。公众可通过以下途径和方式提出意见:
1.登录国家密码管理局门户网站(网址:www.nca.gov.cn),进入首页“互动交流—意见征集”栏目提出意见。
2.电子邮件发送至:gmzcfg@sca.gov.cn,邮件主题请注明“《电子认证服务使用密码管理办法》反馈意见”字样。
3.信函寄至:北京市丰台区靛厂路7号国家密码管理局政策法规室(邮政编码:100036),信封上请注明“《电子认证服务使用密码管理办法》反馈意见”字样。
征求意见时间为2025年3月21日至2025年4月21日。
附件内容详情请看链接：
- 电子认证服务使用密码管理办法（征求意见稿）
2.关于《电子认证服务使用密码管理办法（征求意见稿）》的说明 https://www.oscca.gov.cn/sca/hdjl/2025-03/21/1061245/files/4b7415d35c1c4cc7aa536eb7fea13d19.doc
二、 境内安全事件
汇总本月发生的重大安全事件，分析事件的发生原因、影响和对应解决方案，可提高对相应事件的应对能力，实现“防患于未然”。2.1 关于预防木马钓鱼攻击风险的紧急通知
事件日期：2025-03-05事件概况：
近期，国家计算机病毒应急处理中心发布预警报告称，在我国境内出现了“银狐”木马病毒最新变种，该病毒主要通过微信群传播，以网络钓鱼形式，通过电脑上的即时通信类软件短时间拉大量群发送诈骗链接，通过构造奖金、财务、税务违规稽查通知等主题的钓鱼信息，进行经济诈骗。银狐系列木马的传播途径包括：
钓鱼邮件攻击。通过伪装身份，冒充合作伙伴、政府单位发送含恶意附件的邮件（如“招标合同.docx”、“财务对账单.xlsx”）。邮件包含一些携带宏病毒的Office文档（诱导用户启用宏后下载木马）或者包含压缩包，内嵌伪装成PDF的.scr或.js脚本；
供应链污染。通过捆绑或者篡改企业常用软件（如财务系统、工业设计工具）的安装包，植入木马后通过官网或第三方平台分发。或者攻击Python的PyPI库、Node.js的npm仓库，上传含后门的开源组件；
电脑漏洞利用。利用未修复的系统漏洞，如Windows SMB漏洞（永恒之蓝）、Apache Log4j2漏洞（Log4Shell）等未修复的漏洞进行传播。针对企业VPN、防火墙设备的未公开漏洞实施渗透；
U盘或者移动存储设备。通过感染U盘或者移动存储设备自动复制到接入设备，或利用弱口令入侵企业内网共享文件夹；
如何防范：
1、及时更新电脑操作系统、杀毒软件及防火墙至最新版本，并定期查杀，以抵御各种木马软件和恶意软件攻击。
2、办公电脑应设置不操作时自动锁屏，离开办公室时，应及时退出即时通讯软件客户端或关闭电脑运行，建议关闭即时通讯软件客户端自动登录功能。
3、及时将即时通讯软件客户端升级到最新版本。
4、对客户端提示有异常登录行为应及时检查软件中的信任设备
5、谨慎点击来自不明来源的文件或网址链接，重点留意[.exe]、[.zip]、[.rar]、[.7z]、[.tgz]、[.cab]、[.bat]、[.com]、[.chm]、[.iso]、[.msi]后缀格式的文件。
6、不要随意下载和安装未经官方认证的软件，防止软件携带恶意代码入侵系统。
7、避免在别人的手机或公共电脑等不安全环境上使用即时通讯软件，一机多人使用的情况使用完要立刻退出登录，且不要设置自动登录。
2.2 国家计算机病毒应急处理中心监测发现15款违规移动应用
事件日期：2025-03-05事件概况：
国家计算机病毒应急处理中心监测发现15款移动应用存在隐私不合规行为，这些问题主要集中在以下几个方面：
一、告知不充分。部分移动应用在处理个人信息前，未以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方式、个人信息的保存期限等。
二、隐私政策不完善。部分移动应用的隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。
三、未取得单独同意。部分移动应用在向其他个人信息处理者提供其处理的个人信息时，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
四、用户权利保障不足。部分移动应用未提供有效的更正、删除个人信息及注销用户账号功能；需人工处理的，未在承诺时限内完成核查和处理。
五、投诉举报处理不及时。部分移动应用对用户的投诉、举报未在承诺时限内受理并处理。
六、撤回同意途径缺失。部分移动应用未向用户提供撤回同意收集个人信息的途径、方式，侵犯了用户对其个人信息收集的控制权。
七、自动化决策问题。部分移动应用通过自动化决策方式向个人进行信息推送、商业营销，未同时提供不针对其个人特征的选项，或者未向个人提供便捷的拒绝方式。
八、敏感信息处理不当。部分移动应用在处理敏感个人信息时未取得个人的单独同意，增加了用户隐私泄露的风险。
附件内容请查看链接：
https://www.cverc.org.cn/zxdt/report20250307.htm
如何防范：
1、用户隐私保护意识：用户在下载和使用移动应用时，应谨慎对待隐私政策，认真阅读用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息。
2、选择可靠应用：用户应尽量从官方渠道下载应用，避免下载来源不明的应用，同时关注应用的评价和用户反馈，选择信誉良好的应用。
3、定期维护个人信息：用户应定期维护和清理相关数据，避免个人隐私信息长期留存于应用中，降低泄露风险。
4、应用商店审核加强：应用商店应加强对上架应用的审核，确保应用符合相关法律法规和隐私政策要求，对存在隐私问题的应用及时下架或要求整改。
5、监管力度加大：相关部门应加强对移动应用的监管，定期进行检测和抽查，对违规行为及时查处，并建立长效的监管机制，保障用户隐私安全。
6、隐私政策透明化：移动应用开发者应完善隐私政策，明确列出收集使用个人信息的目的、方式、范围等信息，确保用户知情权。
7、用户权利保障机制：移动应用应提供有效的更正、删除个人信息及注销用户账号功能，并在承诺时限内完成人工处理的核查和处理，保障用户对其个人信息的控制权。
8、加强法律意识：移动应用开发者和运营者应增强法律意识，严格遵守相关法律法规，确保应用的开发和运营符合隐私保护要求。
2.3 Win10系统高危漏洞曝光，黑客可利用低权限账户获取SYSTEM权限
事件日期：2025-03-13事件概况：
ESET披露微软将在2025年3月的“补丁星期二”更新中修复Windows 10系统中的高危漏洞CVE-2025-24983，该漏洞存在于Win32内核子系统，允许攻击者在满足复杂条件下从低权限账户提升至SYSTEM权限，严重威胁系统安全。证据显示，2023年3月起黑客组织已利用该漏洞通过PipeMagic后门程序发起攻击，导致软件崩溃、恶意代码执行、权限提升或数据损坏等后果。
CVE-2025-24983不仅影响Windows 10，还波及到已停止官方支持的Windows Server 2012 R2和Windows 8.1，以及仍在支持期内的Windows Server 2016和特定版本的Windows 10（版本1809及更早）。
在2025年3月的“补丁星期二”更新中，微软还紧急修复了另外五个被标记为“正在被利用”的零日漏洞，包括两个Windows NTFS信息泄露漏洞（CVE-2025-24984和CVE-2025-24991）、一个Windows Fast FAT文件系统驱动远程代码执行漏洞（CVE-2025-24985）、一个Windows NTFS远程代码执行漏洞（CVE-2025-24993），以及一个Microsoft管理控制台安全功能绕过漏洞（CVE-2025-26633）。美国网络安全与基础设施安全局（CISA）将这六大漏洞全部纳入其“已知被利用漏洞目录”，并要求联邦文职行政分支（FCEB）机构在4月1日前完成所有相关漏洞的修复工作，以降低遭受攻击的风险。
如何防范：
- 及时安装更新补丁：微软将在2025年3月的“补丁星期二”更新中修复相关漏洞，用户应及时安装更新补丁，以防止被攻击。
- 加强网络安全防护：部署网络安全防护系统，如防火墙、入侵检测系统等，防止外部攻击。采用数据加密技术，对重要数据进行加密处理，确保数据安全。
- 实施访问控制与身份认证：限制敏感数据访问权限，采用多因素认证方式，提高账号的安全性。
- 定期备份数据：重要数据定期备份，确保在数据损坏或丢失时能够快速恢复。
2.4 3·15 晚会曝光 “大数据获客软件” 窃取隐私乱象
事件日期：2025-03-15事件概况：
2025 年 3 月 15 日晚，3·15 晚会揭示了 “大数据获客软件” 盗取用户隐私的乱象。过去一年，不少商家以 “精准获客” 为卖点，推出能获取消费者购物偏好、手机号等信息的软件。
云企智能科技公司的 “云客引流” 软件，整合了短视频、资讯、导航、购物等应用功能。业务经理称，该软件可设置关键词标签，在短视频平台评论区扫描匹配内容，私自获取用户电话、微信等信息，还能窃取同行直播带货数据。绿信科技的 “点点蚁” 软件同样通过短视频平台，迅速抓取用户个人信息。
此外，企腾网络的 “火眼云” 软件，号称拥有 20 亿条精准人群画像，能抓取目标人群手机号，已将大量个人信息卖给企业。该软件还能悄悄获取企业公众号关注用户、微信群成员以及阅读、转发文章用户的手机号。
另一家公司智优擎网络科技公司则表示掌握大量分类详细的个人信息，客户指定区域后，系统可展示该地区及各行业个人信息数量。例如，在金牛区附近划定范围，可获取 130 万条相关数据。这些数据被隐藏在企业信息中销售，以规避风险。
启科科技有限公司一位何经理表示其销售的手机号码用户画像精准，转化率高，因此数据信息定价较高。他们能通过三网（三家电信运营商）抓取指定电话用户及浏览特定网站、App的用户信息。其“精准通客户管理平台”可访问电信运营商后台实时数据，按地区、性别、年龄等多维度获取用户信息。
根据《中华人民共和国民法典》的相关规定，自然人享有隐私权，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。截至发稿，上述几家公司均未作出回应。
如何防范：
- 加强数据加密与技术防护：企业和个人采用加密技术对重要数据进行加密存储和传输，确保数据在各个环节的保密性。
- 完善企业数据安全管理体系：企业应建立健全数据安全管理制度，涵盖数据收集、存储、使用等环节，明确数据处理的流程和规范。定期组织员工参加数据安全培训，提高员工对数据安全的认识和操作技能。
- 提升用户隐私保护意识：个人充分认识到隐私和个人信息泄露的严重性，在互联网上谨慎填写个人信息，避免不必要的隐私泄露。对个人设备上的重要信息进行加密处理，慎重对应用软件信息采集的信任。
- 强化法律法规与监管力度：政府应完善相关法律法规，明确数据采集、使用的法律边界，加大对侵犯公民个人信息违法违规行为的处罚力度。建立多部门联合监管机制，加强执法力度，切实保障消费者权益。
2.5 国家安全部曝光4名“台独”网军身份信息
事件日期：2025-03-17事件概况：
3月17日，“国家安全部”微信公众号发文《台资通电军“倚网谋独”终是死路一条》。台湾资通电军自2017年成立以来，充当“台独”势力工具，在民进党当局指挥下，对大陆实施网络攻击、渗透、窃密和反宣破坏活动。他们攻击大陆关键基础设施，窃取党政军企机密，并操控舆论、散布虚假信息，以干扰两岸认知。该组织内部混乱，层级互相推卸责任，甚至涉及贪污、诈骗等丑闻。国家安全机关已查获多个网攻平台，精准打击其网络间谍活动，并依法彻查幕后黑手，肃清安全隐患。官方警告“台独”网军头目及胁从人员，分裂行径终将失败，国家安全机关将依法终身追责。同时提醒各类网络服务提供商、网站运营者加强安全防范，广大网民提高警惕，防范“台独”网军的攻击和虚假信息，并鼓励公众通过官方渠道举报可疑网络间谍活动，共同维护国家安全。文中还公开了四名网攻分子身份信息。
如何防范：
- 强化关键信息基础设施防护：网络服务提供商和关键领域（如水、电、通信等）需定期进行系统维护、漏洞修复和代码审计，采用自动化工具检测潜在风险，避免使用默认或弱密码。
- 个人用户需定期更换社交媒体、邮箱等账号加强个人与组织网络安全意识：密码，避免使用重复或简单密码；警惕钓鱼邮件和虚假链接，不轻易点击来源不明的附件，提高对网络谣言的辨识能力。广大公民或组织如发现疑似网络间谍活动，可通过12339国家安全机关举报受理电话、网络举报平台（www.12339.gov.cn）、国家安全部微信公众号举报受理渠道等，向国家安全机关反映。
- 加强技术防范手段：各单位应落实网络安全防范措施，强化供应链代码和日志审计，提升密码强度，降低网络攻击和数据泄露的风险隐患。对于重要信息和敏感数据，应采用加密技术进行加密处理，确保数据在传输和存储过程中的安全性。同时，要严格遵守“涉密不上网、上网不涉密”的原则，杜绝将涉密信息存储于非安全的网络环境中。
- 加强账号安全管理：加强账号的安全管理，设置复杂的密码并定期更换，避免使用弱密码或默认密码。同时，可以将账号与手机、邮箱等绑定，登录时使用“动态码”验证，提高账号的安全性。
2.6 青海首张网络数据安全“罚单”，办公OA系统未采取技术措施造成部分数据泄露被罚
事件日期：2025-03-21事件概况：
近日，青海省互联网信息办公室依法对海西州某公司存在的网络数据安全违法行为进行行政处罚，开出青海省首张网络数据安全“罚单”。青海省互联网信息办公室针对有关问题线索充分调查取证，依法查明海西州某公司存在不履行网络安全、数据安全保护义务行为，其办公OA系统未采取技术措施和其他必要措施保障数据安全，存在未授权访问漏洞，造成企业部分数据泄露。
青海省互联网信息办公室依据《中华人民共和国数据安全法》第四十五条第一款规定，对该公司作出责令改正，给予警告，并处5万元罚款的行政处罚，对直接主管人员和其他责任人员分别处以1万元罚款处罚。
依据相关法律规定，企业应牢固树立合规意识，规范数据处理行为，完善数据安全防护技术措施，严格履行主体责任，切实维护网络安全和数据安全。青海省互联网信息办公室将持续强化网络安全、数据安全等领域执法，加大违法违规行为处置力度，有效筑牢网络安全、数据安全保护屏障, 为全省经济社会发展稳定大局提供有力网信支撑和保障。
如何防范：
1、企业自身管理：企业要强化数据安全意识，完善数据安全制度，对数据收集、存储、使用等环节进行规范。明确数据分类分级，针对不同级别数据制定相应保护策略，重点保护核心业务与敏感数据。
2、技术防护措施：部署网络安全防护系统，如防火墙、入侵检测系统等，防止外部攻击。采用数据加密技术，对重要数据进行加密处理，确保数据安全。实施访问控制与身份认证，限制敏感数据访问权限，采用多因素认证方式。
3、人员培训与管理：定期开展数据安全培训，提高员工数据安全操作技能，避免人为失误。明确人员在数据安全方面的责任，签订保密协议，严肃处理违规行为。
2.7 长城汽车 App 崩溃，车主被“罚站” 官方致歉
事件日期：2025-03-21事件概况：
3月21日上午，社交媒体上有大量长城汽车车主发帖称，长城汽车旗下多个APP出现故障，未带钥匙的车主长时间无法打开车门。根据用户发布内容来看，本次APP崩溃事件涉及长城汽车旗下魏牌、哈弗、坦克等多个品牌的APP。
当天下午，长城汽车APP团队发布致歉信称，由于云服务器通讯于2025年3月21日9:30突发异常，导致长城汽车APP以及旗下五品牌APP部分功能失效，出现了短暂的无法登录或正常使用的状况。问题发生后，技术团队第一时间联合云厂商展开修复工作，经过争分夺秒的努力，2025年3月21日10:30各APP均已恢复正常使用。
如何防范：
- 加强云服务器管理：企业应定期对云服务器进行维护和检查，确保其稳定运行。同时，建立备份服务器，在主服务器出现问题时能够迅速切换，减少对用户的影响。
- 优化APP开发与测试：在APP开发过程中，注重代码质量和安全性，进行全面的测试，包括功能测试、性能测试和压力测试等，及时发现并修复潜在问题，避免因APP自身缺陷导致崩溃。
- 建立应急响应机制：制定完善的应急预案，明确在遇到服务器故障、APP崩溃等突发情况时的处理流程和责任分工。一旦出现问题，能够迅速启动应急响应，组织技术团队进行抢修，并及时向用户通报情况，降低用户不满和损失。
- 提升用户沟通与服务：在事件发生后，通过多种渠道向用户发布致歉声明和解决方案，保持信息透明。同时，加强客服团队的培训和资源配置，及时处理用户的咨询和投诉，提供有效的帮助和补偿措施，提升用户满意度。
上一篇：2025年1-2月漏洞通告 下一篇：2025年3月漏洞通告
返回列表
