分类: 国内要闻

谁在倒卖用户个人信息?新华社:内鬼是泄露主要渠道

去年以来,在公安部部署下,全国各地开展打击整治网络侵犯公民个人信息犯罪专项行动,取得了明显成效。但当前侵犯公民信息安全违法犯罪活动仍时有发生,非法收集、贩卖公民个人信息手法多样,手段更为隐蔽。“ 新华视点 ”记者在多地反诈骗中心了解到,目前电信网络诈骗案件 90% 以上是违法分子靠掌握公民详细信息进行的精准诈骗,从已破获案件看,“ 内鬼 ”监守自盗和黑客攻击仍是公民个人信息泄露的主要渠道。 有犯罪分子专门收集老人信息设置骗局 “ 鲜活信息 ”单条能卖数十元 12 月以来,福建厦门连续发生 7 起老年人被骗警情,单笔被骗最高金额达 13 万元。诈骗分子冒充公检法办案人员,以受害者涉嫌洗钱、身份被冒用等为由,骗老人到银行转账汇款至安全账户。厦门市公安局反诈骗中心负责人告诉记者,诈骗人员通过收集老人信息,对老人的姓名、电话甚至家庭情况掌握得一清二楚,精心设计骗局。 厦门市公安局刑侦支队副支队长吴世勇说,非法获取、买卖公民个人信息已形成黑色产业链。一方面,大数据营销方兴未艾,各类广告公司、大数据运营商、保险公司、中介公司等机构对于公民个人信息存在庞大需求;另一方面,侵犯公民个人信息犯罪为电信网络诈骗、金融诈骗、敲诈勒索等提供了作案便利,这是此类违法犯罪活动屡禁不绝的重要原因。 据记者了解,在公安机关严厉打击下,网站、论坛、QQ 群公开叫卖、求购公民个人信息大幅减少,现在更多表现为买卖方单线联系、熟人介绍,在小规模的同业 QQ 群、微信群用隐晦的关键词交流买卖信息。据深圳警方抓获的犯罪嫌疑人谢某交代,他从网上搜索到售卖信息资源的 QQ 号,联系上后,对方提出要求,购买 7 万多条信息资源需先付 600 元定金,资源到手后再付款 700 元。“ 付款完成后,对方就把我删除了。”谢某说。 更令人吃惊的是,根据买方的需求,在互联网上能精准买到相应的个人信息。福州福清市法院判决的一起绑架案中,两名犯罪人员为谋财寻找作案目标,在福清市区发现受害者驾驶一辆豪华轿车,通过车牌号在网上求购到车主信息,准确掌握了受害者及其家庭人员信息,并策划实施了绑架,因受害者激烈反抗未成功。 据记者调查,根据信息质量和倒卖的层级,从几分钱一条到几百元一条,价格不等。“含金量高”的个人信息价格较高,新开楼盘业主、新购车辆车主、新生儿、入学新生、新近下单的网络购物订单等“鲜活”信息,单条能卖到十几元乃至数十元。 “ 内鬼 ”是信息泄露主要渠道 黑客攻击窃取信息呈增长趋势 福建公安机关相关负责人告诉记者,从破获案件看,“内鬼”监守自盗和黑客攻击仍然是公民个人信息泄露的主要渠道。福州公安机关近日破获一起特大侵犯公民个人信息案,查获公民个人房产、征信报告、车辆、联系方式等信息超过千万条,抓获的 19 名犯罪嫌疑人绝大多数是房产开发、销售、中介等内部人员。他们利用职务便利,非法收集、交换、出售公民个人信息,从中牟利。 从公安机关破获和法院判决的案例看,车辆、征信报告、银行账户、房产、教育、医疗等信息成为“抢手货”,相关部门内部人员监守自盗案件时有发生。在深圳福田的某资产管理有限公司,警方缴获非法公民个人信息 1 万余条、非法个人银行征信报告 1000 余份。警方最终摸查出非法提供这些个人信息的是 3 名某银行深圳分行个贷部在职员工。 此外,黑客攻击窃取个人信息呈增长趋势。“ 网络安全形势十分严峻。” 从事网络安全保护业务的厦门服云信息科技有限公司技术人员朱一帆告诉记者,“ 从对政府机构、大型国企、高校、电商、交通等重点客户遭遇互联网黑客攻击的实时监测数据看,网络黑客入侵重点网站窃取信息有增无减,攻击手段日益多样化,而大量掌握公民个人信息的一些机构网络安全防护意识不强,投入不足,特别是没有对不断出现的网络安全漏洞及时采取修复措施,很容易被黑客攻陷,造成大规模信息泄露。” 筑牢源头“ 防护墙 ” 重拳整治“ 买方市场 ” 公安、网络安全等部门人士提出,保护公民个人信息安全,筑牢源头“防护墙”是关键,要建立有效的事前预防、实时监测、主动预警机制。厦门市公安局刑侦支队民警陈鸿说:“ 调查发现,一些掌握大量公民个人信息的单位在防范信息泄露方面缺乏有效机制,对内部人员缺乏监督、制约,有的工作人员随意浏览、下载相关内部信息,而单位长期不知情,直至发生大规模泄露严重后果。” 陈鸿等人建议,应在大量掌握公民个人重要信息的部门,如银行、房产中心、税务、车管等部门建立数字证书制度,工作人员必须使用专属于个人的数字证书才能登录、查看、下载单位信息系统数据,实现全程留痕,一旦发生信息泄露,可以倒查责任人员。 不少办案民警提出,目前我国对收集、购买公民个人信息的买方市场打击力度明显不够。对信息买方市场的整治应当加强。今年 5 月,最高人民法院、最高人民检察院发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》,规定利用非法购买、收受的公民个人信息获利 5 万元以上等情形的;非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息 50 条以上等情形的,应当认定为“情节严重”,面临承担刑事责任的法律后果。此外,不少公安、法院人士提出,这一司法解释出台后,长期困扰司法机关的法律适用难题得到缓解,多部门共同打击的合力正在形成。 稿源:cnBeta、新华社,封面源自网络;

国家域名服务平台浙江节点正式启用

12 月 2 日,“ 国家域名服务平台——浙江节点 ” 在浙江乌镇互联网国际会展中心举行启用仪式。该节点部署上线后,将纳入国家域名顶级节点服务平台并对外服务。国家互联网信息办公室信息化发展局副局长兼中国互联网络信息中心(CNNIC)副主任曾宇、浙江省经济和信息化委员会副主任吴君青等出席仪式。 作为国家网络基础资源的注册服务管理机构,CNNIC 积极探索开放合作的发展模式,集中优势力量构建坚实的互联网基础设施。自 2015 年,CNNIC 携手浙江经信委签署战略合作协议,双方共同推动国家域名顶级节点在浙江的建设、部署和上线,进一步完善国家域名服务平台生态区域分布。 曾宇(右三)、吴君青(左四)在启用仪式上 “ 自 1997 年成立以来,CNNIC 不断通过技术研发、设施部署和创新合作机制等方面提升国家顶级域名的运行服务能力。国家域名浙江顶级节点的建设和部署正是新合作模式下的重要成果。”曾宇副局长在致辞中介绍,“ 作为互联网的重要基础设施,域名资源的运行服务安全直接关系整个互联网的安全。尤其是作为我国在全球互联网上身份标识的 ‘ .cn ’ 等国家顶级域名的安全稳定运行,对我国乃至全球互联网的正常运转起着举足轻重的作用。” 吴君青副主任在讲话中强调,“ 浙江对国家顶级域名节点建设工作高度重视,双方在合作模式上的创新,实现了优势互补。 ”  “ 国家域名服务平台——浙江节点 ” 的正式上线,将有效提升浙江互联网的安全等级和服务水平。未来,CNNIC 在浙江除了聚焦国家域名节点建设运营外,在互联网大数据、IPV6 网络建设、网络前沿技术研究等方面将与浙江省内机构寻求深入合作,共同推进网络强国战略在浙江的进一步实践。 稿源:cnBeta、国际在线,封面源自网络;

中国科学家称量子间谍卫星能跟踪隐形轰炸机

阿里巴巴旗下的《南华早报》报道,中科院上海量子光学重点实验室的研究人员正在为卫星开发量子传感器,能识别和跟踪夜晚飞行的隐形轰炸机和其它太空看不见的目标。实验室研究主任龚文林称,实验室由著名量子光学物理学家韩申生领导,计划到 2020 年完成一个原型,2025 年前在太空进行测试,2030 年大规模应用。 量子鬼成像已在地基系统进行了测试,龚的实验室正与国外竞争对手竞争发射第一颗鬼成像卫星。鬼成像卫星将装备两个相机,其中之一对准了感兴趣的目标区域,其二测量环境光场的变化。目标能被任何光源照亮。卫星使用一对纠缠的激光束去照亮目标及其周围环境。利用一组复杂算法分析和合并两个相机接收的信号,科学家能得到传统方法不可能得到的高清目标图像。夜晚、云、雾霾和其它影响能见度的因素将变得无关紧要。 稿源:solidot奇客,方面源自网络;

光明时评:提高隐私保护意识要从公共部门开始

近日,新闻相继披露吉、湘、鄂、浙、闽、苏、桂、陕等多所高校官网存在泄露学生个人信息的情况。另外,很多地方政府的网站,也存在大面积披露公民隐私信息的现象。客观而言,这些泄露都属于无心之失。不管是政府部门还是高校,都是以信息公开之名而行泄露隐私之实。看起来,巨细靡遗的信息披露,是为了公开透明方便监督,其实多数情况下更像是考虑不周的懒惰。 耐人寻味的是,如果不是媒体近来持之以恒地跟进监督,这种现象恐怕不会受到如此重视。那么多个体被公共部门披露隐私,但好像也没有太多人提出质疑。这背后当然有情非得已的顾虑。因为从被披露的信息缘由来看,拿低保或者保障房也好,领奖学金也罢,虽然都是个人应得的权益,但现实中给人的感觉总好像得了某种“好处”,谁好意思去较真?这种隐私保护让位于现实利益考虑,其实很具普遍性。 此前就有媒体报道,中国互联网用户普遍缺乏隐私保护的意识,很多人愿意用个人数据来交换网站提供的服务。而那些个人数据中,包含着许多珍贵的隐私信息,但其无形价值远没有受到充分重视。曾有调查数据显示,2013 年,只有 50% 的国人认为在网上分享个人信息时必须保持高度警惕,而在美国,这一比例是 83%。几年时间过去,隐私保护的意识可能有所上升,但从一些公共部门失控的做法看,思维的转变还有待时日。 必须重视隐私保护的原因,在于其可能遗留安全隐患,甚至造成直接的利益损失。尤其是公共部门无意识泄露出的隐私,不仅包括身份证号等信息,还涉及公民领低保、分配保障房等动向,会给别有用心者骚扰、诈骗带来便利。隐私泄露对于个人会造成权益损害,从社会整体看也是恶果昭彰。中国互联网协会发布的《 中国网民权益保护调查报告 2016 》显示,中国网民因为垃圾信息、诈骗信息、个人信息泄露等遭受的总体经济损失约 915 亿元。 中国越来越步入信息时代、无现金社会,未来隐私泄露可能造成的危害将更大。所以最近曝光的那些公共部门泄露隐私的案例,虽然暂时还没有造成严重危害,但及时敲响隐私保护的警钟是必要的。提高隐私保护意识,要从公共部门开始,这既是对公民权益负责,避免自身的侵权责任,也是为了起到更好的社会垂范作用。只有公共部门明确隐私保护的意识、守住底线,才能更好地推动相关法规的完善和执行,让隐私保护成为整个社会的习惯。 稿源:新浪科技、光明网,封面源自网络;

工信部发文:1 亿以上互联网用户信息泄露为特大网络安全事件

工信部网站 11 月 23 日消息,为进一步健全公共互联网网络安全突发事件应急机制,提升应对能力,根据《中华人民共和国网络安全法》《国家网络安全事件应急预案》等,工业和信息化部印发《公共互联网网络安全突发事件应急预案》。根据预案,公共互联网网络安全突发事件分为四级:特别重大事件、重大事件、较大事件、一般事件。 一、总则 1.编制目的:建立健全公共互联网网络安全突发事件应急组织体系和工作机制,提高公共互联网网络安全突发事件综合应对能力,确保及时有效地控制、减轻和消除公共互联网网络安全突发事件造成的社会危害和损失,保证公共互联网持续稳定运行和数据安全,维护国家网络空间安全,保障经济运行和社会秩序. 2.编制依据:《中华人民共和国突发事件应对法》《中华人民共和国网络安全法》《中华人民共和国电信条例》等法律法规和《国家突发公共事件总体应急预案》《国家网络安全事件应急预案》等相关规定。 3.适用范围:本预案适用于面向社会提供服务的基础电信企业、域名注册管理和服务机构(以下简称域名机构)、互联网企业(含工业互联网平台企业)发生网络安全突发事件的应对工作;本预案所称网络安全突发事件,是指突然发生的,由网络攻击、网络入侵、恶意程序等导致的,造成或可能造成严重社会危害或影响,需要电信主管部门组织采取应急处置措施予以应对的网络中断(拥塞)、系统瘫痪(异常)、数据泄露(丢失)、病毒传播等事件;本预案所称电信主管部门包括工业和信息化部及各省(自治区、直辖市)通信管理局;工业和信息化部对国家重大活动期间网络安全突发事件应对工作另有规定的,从其规定。 4.工作原则:公共互联网网络安全突发事件应急工作坚持统一领导、分级负责;坚持统一指挥、密切协同、快速反应、科学处置;坚持预防为主,预防与应急相结合;落实基础电信企业、域名机构、互联网服务提供者的主体责任;充分发挥网络安全专业机构、网络安全企业和专家学者等各方面力量的作用。   二、组织体系  1.领导机构与职责:在中央网信办统筹协调下,工业和信息化部网络安全和信息化领导小组(以下简称部领导小组)统一领导公共互联网网络安全突发事件应急管理工作,负责特别重大公共互联网网络安全突发事件的统一指挥和协调。 2.办事机构与职责:在中央网信办下设的国家网络安全应急办公室统筹协调下,在部领导小组统一领导下,工业和信息化部网络安全应急办公室(以下简称部应急办)负责公共互联网网络安全应急管理事务性工作;及时向部领导小组报告突发事件情况,提出特别重大网络安全突发事件应对措施建议;负责重大网络安全突发事件的统一指挥和协调;根据需要协调较大、一般网络安全突发事件应对工作。部应急办具体工作由工业和信息化部网络安全管理局承担,有关单位明确负责人和联络员参与部应急办工作。 3.其他相关单位职责:各省(自治区、直辖市)通信管理局负责组织、指挥、协调本行政区域相关单位开展公共互联网网络安全突发事件的预防、监测、报告和应急处置工作。基础电信企业、域名机构、互联网企业负责本单位网络安全突发事件预防、监测、报告和应急处置工作,为其他单位的网络安全突发事件应对提供技术支持。国家计算机网络应急技术处理协调中心、中国信息通信研究院、中国软件评测中心、国家工业信息安全发展研究中心(以下统称网络安全专业机构)负责监测、报告公共互联网网络安全突发事件和预警信息,为应急工作提供决策支持和技术支撑。鼓励网络安全企业支撑参与公共互联网网络安全突发事件应对工作。   三、事件分级 根据社会影响范围和危害程度,公共互联网网络安全突发事件分为四级:特别重大事件、重大事件、较大事件、一般事件。 1.特别重大事件 — 符合下列情形之一的,为特别重大网络安全事件: (1)全国范围大量互联网用户无法正常上网; (2).CN 国家顶级域名系统解析效率大幅下降; (3)1 亿以上互联网用户信息泄露; (4)网络病毒在全国范围大面积爆发; (5)其他造成或可能造成特别重大危害或影响的网络安全事件。 2.重大事件 — 符合下列情形之一的,为重大网络安全事件:  (1)多个省大量互联网用户无法正常上网; (2)在全国范围有影响力的网站或平台访问出现严重异常; (3)大型域名解析系统访问出现严重异常; (4)1 千万以上互联网用户信息泄露; (5)网络病毒在多个省范围内大面积爆发; (6)其他造成或可能造成重大危害或影响的网络安全事件。 3.较大事件 — 符合下列情形之一的,为较大网络安全事件: (1)1 个省内大量互联网用户无法正常上网; (2)在省内有影响力的网站或平台访问出现严重异常; (3)1 百万以上互联网用户信息泄露; (4)网络病毒在 1 个省范围内大面积爆发; (5)其他造成或可能造成较大危害或影响的网络安全事件。 4.一般事件:符合下列情形之一的,为一般网络安全事件: (1)1 个地市大量互联网用户无法正常上网; (2)10 万以上互联网用户信息泄露; (3)其他造成或可能造成一般危害或影响的网络安全事件。   四、监测预警 1.事件监测:基础电信企业、域名机构、互联网企业应当对本单位网络和系统的运行状况进行密切监测,一旦发生本预案规定的网络安全突发事件,应当立即通过电话等方式向部应急办和相关省(自治区、直辖市)通信管理局报告,不得迟报、谎报、瞒报、漏报。 网络安全专业机构、网络安全企业应当通过多种途径监测、收集已经发生的公共互联网网络安全突发事件信息,并及时向部应急办和相关省(自治区、直辖市)通信管理局报告。报告突发事件信息时,应当说明事件发生时间、初步判定的影响范围和危害、已采取的应急处置措施和有关建议。 2.预警监测:基础电信企业、域名机构、互联网企业、网络安全专业机构、网络安全企业应当通过多种途径监测、收集漏洞、病毒、网络攻击最新动向等网络安全隐患和预警信息,对发生突发事件的可能性及其可能造成的影响进行分析评估;认为可能发生特别重大或重大突发事件的,应当立即向部应急办报告;认为可能发生较大或一般突发事件的,应当立即向相关省(自治区、直辖市)通信管理局报告。 3.预警分级:建立公共互联网网络突发事件预警制度,按照紧急程度、发展态势和可能造成的危害程度,公共互联网网络突发事件预警等级分为四级:由高到低依次用红色、橙色、黄色和蓝色标示,分别对应可能发生特别重大、重大、较大和一般网络安全突发事件。 4.预警发布:部应急办和各省(自治区、直辖市)通信管理局应当及时汇总分析突发事件隐患和预警信息,必要时组织相关单位、专业技术人员、专家学者进行会商研判。 认为需要发布红色预警的,由部应急办报国家网络安全应急办公室统一发布(或转发国家网络安全应急办公室发布的红色预警),并报部领导小组;认为需要发布橙色预警的,由部应急办统一发布,并报国家网络安全应急办公室和部领导小组;认为需要发布黄色、蓝色预警的,相关省(自治区、直辖市)通信管理局可在本行政区域内发布,并报部应急办,同时通报地方相关部门。对达不到预警级别但又需要发布警示信息的,部应急办和各省(自治区、直辖市)通信管理局可以发布风险提示信息。 发布预警信息时,应当包括预警级别、起始时间、可能的影响范围和造成的危害、应采取的防范措施、时限要求和发布机关等,并公布咨询电话。面向社会发布预警信息可通过网站、短信、微信等多种形式。 5.预警响应 (1) 黄色、蓝色预警响应:发布黄色、蓝色预警后,相关省(自治区、直辖市)通信管理局应当针对即将发生的网络安全突发事件的特点和可能造成的危害,采取下列措施:要求有关单位、机构和人员及时收集、报告有关信息,加强网络安全风险的监测;组织有关单位、机构和人员加强事态跟踪分析评估,密切关注事态发展,重要情况报部应急办;及时宣传避免、减轻危害的措施,公布咨询电话,并对相关信息的报道工作进行正确引导。 (2)红色、橙色预警响应:发布红色、橙色预警后,部应急办除采取黄色、蓝色预警响应措施外,还应当针对即将发生的网络安全突发事件的特点和可能造成的危害,采取下列措施:要求各相关单位实行 24 小时值班,相关人员保持通信联络畅通;组织研究制定防范措施和应急工作方案,协调调度各方资源,做好各项准备工作,重要情况报部领导小组;组织有关单位加强对重要网络、系统的网络安全防护;要求相关网络安全专业机构、网络安全企业进入待命状态,针对预警信息研究制定应对方案,检查应急设备、软件工具等,确保处于良好状态。 6.预警解除:部应急办和省(自治区、直辖市)通信管理局发布预警后,应当根据事态发展,适时调整预警级别并按照权限重新发布;经研判不可能发生突发事件或风险已经解除的,应当及时宣布解除预警,并解除已经采取的有关措施。相关省(自治区、直辖市)通信管理局解除黄色、蓝色预警后,应及时向部应急办报告。   五、应急处置 1.响应分级:公共互联网网络安全突发事件应急响应分为四级:I 级、II 级、III 级、IV 级,分别对应已经发生的特别重大、重大、较大、一般事件的应急响应。 2.先行处置:公共互联网网络安全突发事件发生后,事发单位在按照本预案规定立即向电信主管部门报告的同时,应当立即启动本单位应急预案,组织本单位应急队伍和工作人员采取应急处置措施,尽最大努力恢复网络和系统运行,尽可能减少对用户和社会的影响,同时注意保存网络攻击、网络入侵或网络病毒的证据。 3.启动响应:I 级响应根据国家有关决定或经部领导小组批准后启动,由部领导小组统一指挥、协调;II 级响应由部应急办决定启动,由部应急办统一指挥、协调;III 级、IV 级响应由相关省(自治区、直辖市)通信管理局决定启动,并负责指挥、协调。 启动 I 级、II 级响应后,部应急办立即将突发事件情况向国家网络安全应急办公室等报告;部应急办和相关单位进入应急状态,实行 24 小时值班,相关人员保持联络畅通,相关单位派员参加部应急办工作;视情在部应急办设立应急恢复、攻击溯源、影响评估、信息发布、跨部门协调、国际协调等工作组。启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局应及时将相关情况报部应急办。 4.事态跟踪:启动 I 级、II 级响应后,事发单位和网络安全专业机构、网络安全企业应当持续加强监测,跟踪事态发展,检查影响范围,密切关注舆情,及时将事态发展变化、处置进展情况、相关舆情报部应急办。省(自治区、直辖市)通信管理局立即全面了解本行政区域受影响情况,并及时报部应急办。基础电信企业、域名机构、互联网企业立即了解自身网络和系统受影响情况,并及时报部应急办。启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局组织相关单位加强事态跟踪研判。 5.决策部署:启动 I 级、II 级响应后,部领导小组或部应急办紧急召开会议,听取各相关方面情况汇报,研究紧急应对措施,对应急处置工作进行决策部署。 针对突发事件的类型、特点和原因,要求相关单位采取以下措施:带宽紧急扩容、控制攻击源、过滤攻击流量、修补漏洞、查杀病毒、关闭端口、启用备份数据、暂时关闭相关系统等;对大规模用户信息泄露事件,要求事发单位及时告知受影响的用户,并告知用户减轻危害的措施;防止发生次生、衍生事件的必要措施;其他可以控制和减轻危害的措施。 做好信息报送。及时向国家网络安全应急办公室等报告突发事件处置进展情况;视情况由部应急办向相关职能部门、相关行业主管部门通报突发事件有关情况,必要时向相关部门请求提供支援。视情况向外国政府部门通报有关情况并请求协助。注重信息发布。及时向社会公众通告突发事件情况,宣传避免或减轻危害的措施,公布咨询电话,引导社会舆论。未经部应急办同意,各相关单位不得擅自向社会发布突发事件相关信息。 启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局组织相关单位开展处置工作。处置中需要其他区域提供配合和支持的,接受请求的省(自治区、直辖市)通信管理局应当在权限范围内积极配合并提供必要的支持;必要时可报请部应急办予以协调。 6.结束响应:突发事件的影响和危害得到控制或消除后,I 级响应根据国家有关决定或经部领导小组批准后结束;II 级响应由部应急办决定结束,并报部领导小组;III 级、IV 级响应由相关省(自治区、直辖市)通信管理局决定结束,并报部应急办。   六、事后总结 1.调查评估:公共互联网网络安全突发事件应急响应结束后,事发单位要及时调查突发事件的起因(包括直接原因和间接原因)、经过、责任,评估突发事件造成的影响和损失,总结突发事件防范和应急处置工作的经验教训,提出处理意见和改进措施,在应急响应结束后10个工作日内形成总结报告,报电信主管部门。电信主管部门汇总并研究后,在应急响应结束后20个工作日内形成报告,按程序上报。 2.奖惩问责:工业和信息化部对网络安全突发事件应对工作中作出突出贡献的先进集体和个人给予表彰或奖励。对不按照规定制定应急预案和组织开展演练,迟报、谎报、瞒报和漏报突发事件重要情况,或在预防、预警和应急工作中有其他失职、渎职行为的单位或个人,由电信主管部门给予约谈、通报或依法、依规给予问责或处分。基础电信企业有关情况纳入企业年度网络与信息安全责任考核。 七、预防与应急准备 1.预防保护:基础电信企业、域名机构、互联网企业应当根据有关法律法规和国家、行业标准的规定,建立健全网络安全管理制度,采取网络安全防护技术措施,建设网络安全技术手段,定期进行网络安全检查和风险评估,及时消除隐患和风险。电信主管部门依法开展网络安全监督检查,指导督促相关单位消除安全隐患。 2.应急演练:电信主管部门应当组织开展公共互联网网络安全突发事件应急演练,提高相关单位网络安全突发事件应对能力。基础电信企业、大型互联网企业、域名机构要积极参与电信主管部门组织的应急演练,并应每年组织开展一次本单位网络安全应急演练,应急演练情况要向电信主管部门报告。 3.宣传培训:电信主管部门、网络安全专业机构组织开展网络安全应急相关法律法规、应急预案和基本知识的宣传教育和培训,提高相关企业和社会公众的网络安全意识和防护、应急能力。基础电信企业、域名机构、互联网企业要面向本单位员工加强网络安全应急宣传教育和培训。鼓励开展各种形式的网络安全竞赛。 4.手段建设:工业和信息化部规划建设统一的公共互联网网络安全应急指挥平台,汇集、存储、分析有关突发事件的信息,开展应急指挥调度。指导基础电信企业、大型互联网企业、域名机构和网络安全专业机构等单位规划建设本单位突发事件信息系统,并与工业和信息化部应急指挥平台实现互联互通。 5.工具配备:基础电信企业、域名机构、互联网企业和网络安全专业机构应加强对木马查杀、漏洞检测、网络扫描、渗透测试等网络安全应急装备、工具的储备,及时调整、升级软件硬件工具。鼓励研制开发相关技术装备和工具。   八、保障措施 1.落实责任:各省(自治区、直辖市)通信管理局、基础电信企业、域名机构、互联网企业、网络安全专业机构要落实网络安全应急工作责任制,把责任落实到单位领导、具体部门、具体岗位和个人,建立健全本单位网络安全应急工作体制机制。 2.经费保障:工业和信息化部为部应急办、各省(自治区、直辖市)通信管理局、网络安全专业机构开展公共互联网网络安全突发事件应对工作提供必要的经费保障。基础电信企业、域名机构、大型互联网企业应当安排专项资金,支持本单位网络安全应急队伍建设、手段建设、应急演练、应急培训等工作开展。 3.队伍建设:网络安全专业机构要加强网络安全应急技术支撑队伍建设,不断提升网络安全突发事件预防保护、监测预警、应急处置、攻击溯源等能力。基础电信企业、域名机构、大型互联网企业要建立专门的网络安全应急队伍,提升本单位网络安全应急能力。支持网络安全企业提升应急支撑能力,促进网络安全应急产业发展。 4.社会力量:建立工业和信息化部网络安全应急专家组,充分发挥专家在应急处置工作中的作用。从网络安全专业机构、相关企业、科研院所、高等学校中选拔网络安全技术人才,形成网络安全技术人才库。 5.国际合作:工业和信息化部根据职责建立国际合作渠道,签订国际合作协议,必要时通过国际合作应对公共互联网网络安全突发事件。鼓励网络安全专业机构、基础电信企业、域名机构、互联网企业、网络安全企业开展网络安全国际交流与合作。   九、附则 1.预案管理:本预案原则上每年评估一次,根据实际情况由工业和信息化部适时进行修订。各省(自治区、直辖市)通信管理局要根据本预案,结合实际制定或修订本行政区域公共互联网网络安全突发事件应急预案,并报工业和信息化部备案。基础电信企业、域名机构、互联网企业要制定本单位公共互联网网络安全突发事件应急预案。基础电信企业、域名机构、大型互联网企业的应急预案要向电信主管部门备案。 2.预案解释:本预案由工业和信息化部网络安全管理局负责解释。 3.预案实施时间:本预案自印发之日起实施。2009 年 9 月 29 日印发的《公共互联网网络安全应急预案》同时废止。 稿源:网易科技、澎湃新闻,封面源自网络;

多地高校国家奖学金名单公示泄露隐私:含身份证号

据报道,用来奖励特别优秀学生的国家奖学金,在江苏、广西、陕西一些高校进行名单公示时出现了隐私信息泄露现象。记者注意到,河海大学、广西民族大学、西安音乐学院等高校近几年在进行国家奖学金候选人或获得者名单公示时,均披露了学生完整的公民身份证号码。 其中,河海大学曾对 2013 年度国家奖学金获奖学生初审名单以及 2014、2015 年度本科生国家奖学金候选人名单进行公示时,在公布了学生的姓名、院系、专业、学号、性别、民族、入学年月之外,还公布了学生完整的公民身份证号码。 广西民族大学则于 2013、2014 年进行年度研究生国家奖学金候选人名单公示时,在公布了学生姓名、性别、民族、院系、学号、入学年月之外,公布了学生完整的公民身份证号码。 西安音乐学院 2012 年对该学年国家奖学金获奖学生初审名单进行公示时,在公布了学生姓名、院系、学号、性别、民族、入学年月之外,公布了学生完整的公民身份证号码。 对此,西安音乐学院学工部一名负责老师 11 月 17 日下午回应称,“要给每个获奖学生发奖金,因此需要身份证号公示进行名单核实 ”。广西民族大学研究生处一名老师接受采访时则表示,校方一直以来都是这个做法,你提醒了之后就可以不放(身份证号),目前上级部门还没说这种要求。河海大学学生处一名负责老师表示,当初曾考虑过把完整的身份证号放上去有无必要。 但是既要公示、又要让学生核对清楚个人信息,没有想到更好的解决办法最大限度地保护学生的隐私。 记者检索到,同样是国家奖学金获奖候选人名单公示,江西财经大学今年 10 月 13 日于其研究生院官网发布的《 2017 年研究生国家奖学金获奖候选人名单公示》中,就公布了学生姓名、院系,并无身份证号码。 此外,东华大学在 2016 年博士研究生国家奖学金获奖学生公示时,在公布了学生姓名、性别、民族、院系、学号、入学年月之外,并没有公布身份证号码。 西南财经大学会计学院 2016 年 9 月在进行国家奖学金候选人公示时,只公布了该院系学生的姓名,亦无身份证号码。 江西财经大学 2017 年研究生国家奖学金获奖候选人名单部分公示内容,并无身份证号。河海大学学生处负责老师 17 日下午接受采访时表示:“也许我们之后能改变国奖公示的办法,可以在公示的时候把身份证号去掉,学生当面来签字核对时再看自己有没有填错身份证号。” 稿源:新浪科技、澎湃新闻,封面源自网络;

黄牛抢购软件 “第一案” 宣判,你为啥秒杀屡屡败北?

据媒体报道,为了营销,不少网络购物平台都会推出 “秒杀”、“低价抢购” 或者 “新品抢购” 等活动,但是有消费者可能会遇到这样的情况:明明网速很快、也提前做好了准备,但就是抢不过其他人。实际上,有一种可能是你在与 “抢购软件” 比赛。这些 “抢购软件” 能够避开或者突破购物网站计算机信息系统安全保护措施,快速抢购到秒杀商品,不少 “黄牛党” 就是用这样的软件抢购商品、从中牟利。其中,一款名为 “黑米” 的软件被无数黄牛党奉为 “神器”。近日,山西太原市迎泽区人民法院对 “黑米天猫” 软件的制作者、销售者判处有期徒刑并处罚金。这也是国内首个对制作、销售黄牛抢购软件者判刑的案件。 尽管 “黑米” 软件的三名制作者、销售者,因 “提供侵入、非法控制计算机信息系统的程序、工具罪” 被太原市迎泽区人民法院判处有期徒刑并处罚金。但在软件贴吧中,仍然有人发帖询问,为何软件不能使用了。通过贴吧中使用者的抢购晒单可以看出,“黑米” 软件并非只有一款,制作者开发了针对 “天猫”、“华为”、“小米” 等系列抢购软件。今年年初,天猫发现平台交易流量异常,监测半个月之后报警,阿里巴巴安全部网络安全资深专家王大鹏表示:“这一款软件使用的流量要远远高于普通流量,关注两周左右后报警处理。” 山西省太原市公安局迎泽区分局接到报警后,锁定了黑米的制作者任某、张某及销售者陈某。协助案件侦破的网络安全专家王少华说:“黄牛市场现在是暴利,所这些软件为了防止同行破解或者抄袭,都使用技术手段对软件进行了处理,我们在这方面花了一些时间 ”。据了解,软件开发者任某从 2014 年起开始接触网络上的秒杀抢购活动,此后,通过 QQ 群结识软件工程专业毕业的张某,张某用一周的时间制作出黄牛软件——黑米,并在网上找到陈某,制作黑米抢购软件官方网站、出售该软件。2015 年,任某、张某开发了专门针对天猫网站的黑米天猫(淘宝)抢购软件。王少华说,黑米软件通过直接向服务器发送任务,完成抢购,“‘黑米’软件主要是破解了各电商平台加密的下单协议,利用第三方打码平台服务,直接绕过图片验证码安全识别策略,又利用更换 IP、伪造设备编号等方式,进一步绕过了电商系统的机器识别和防护,基于以上突破的手段,使用软件的是直接向电商的服务器发送抢购任务,但是正常的用户都是点击浏览器或者手机客户端上的按钮完成操作,所以用这款软件的成功率要高一些。” 任某等人组建的黄牛软件授权 QQ 群不断扩大影响 通过这一软件,任某、张某赚取买家抢购成功商品部分差价,陈某则通过建立“黑米”系列抢购软件销售网站、网站维护、代理销售该抢购软件非法获利。经中国刑事警察学院物证鉴定中心检验,黑米天猫软件为恶意程序。今年 8 月,太原市迎泽区人民检察院以涉嫌提供侵入、非法控制计算机信息系统程序、工具罪对三名被告人提起公诉。 太原市迎泽区人民法院一审判处软件研发者任某和张某有期徒刑三年,缓刑四年,并处罚金人民币三万元;销售者陈某有期徒刑二年,缓刑三年,并处罚金人民币一万元。迎泽区人民法院研究室主任周玉旺介绍:“任某某等 3 人定罪量刑依据《刑法》第 285 条第 2 款、第 3 款。该 3 人违反国家规定,提供专门用于侵入、非法控制计算机信息系统的程序、工具,侵犯了国家计算机信息系统的安全和管理秩序,构成提供侵入、非法控制计算机信息系统的程序、工具罪。” “黑米”的官方网站 黄牛抢购软件,影响了互联网交易的秩序,而整个网络黑灰产业,更是严重侵害了国家网络信息安全。周玉旺认为,作为国内首个对制作、销售黄牛抢购软件者判刑的案件,“黑米”的判例不仅打击了扰乱计算机管理秩序的犯罪行为,更起到了警示作用,“这种犯罪方式更具隐蔽性,专业性,侦查取证难度较大,严重侵害了国家网络信息安全。本案对黑灰产业软件工具制造者,即提供入侵、控制计算机信息系统软件的三名罪犯处以刑罚,打击了扰乱计算机管理秩序的犯罪行为,警示他人不得侵犯计算机管理秩序,否则,将承担刑事责任。” 稿源:新浪科技、央广网,封面源自网络;

金融理财 App 出故障,男子获利 1125 万后被判盗窃罪 11 年

律师吴绍平回忆,会面时,叶榅飞始终在问:欠钱还了就好了,真的要被判刑?叶榅飞是福建人,在上海生活多年。去年 6 月,在使用一款名为 “壹钱包” 的金融理财软件时发现存入的钱被退回银行卡内,但软件上的账户余额却相应增加。此后 8 天,叶榅飞利用这一故障,前后转账超过 350 次,套现 1125 万元。 “壹钱包” 平台运营方报警后,叶榅飞被警方拘留。近日,叶榅飞的辩护律师吴绍平收到该案一审判决,法院以盗窃罪判处叶榅飞有期徒刑 11 年,并处罚金 50 万元。叶榅飞妻子接受新京报记者采访时表示,丈夫并非主动侵入系统盗取资金,而是利用产品漏洞牟利,并据此提出上诉。 发现漏洞后转账 350 余次 2015 年 6 月 16 日,叶榅飞下载了理财软件 “壹钱包”,并注册激活。当年 9 月 10 日,叶榅飞用妻子黄丽丽的证件和手机号码,以黄丽丽的名义,办理平安银行 “花漾卡”,并与 “壹钱包” 账户关联,用于后者的转账和消费。 “壹钱包” 客户端由平安付科技服务有限公司(下称平安付公司)推出,花漾卡则是平安付公司与平安银行共同推出的互联网信用卡,与普通借记卡或信用卡有别的是,花漾卡没有授信额度,也没有透支功能,使用额度等于 “壹钱包” 账户余额。 2016 年 6 月 4 日晚,叶榅飞通过名下一张借记卡,向 “壹钱包” 进行转账充值时发现,资金转入不久便被退回转出卡,但 “壹钱包” 关联的花漾卡账户余额却相应增加。叶榅飞又试了几次,都出现了同样的状况。转一次钱,就可以套出一笔同样金额的钱,这个 “发现” 让叶榅飞有些兴奋。此后一连 8 天,他沉溺在这种转账-退回-余额增加的过程中。叶榅飞没有计算过转账次数,警方事后的调查,将这一数字固定为 350 次以上。 极度频繁、连续的交易,让 “壹钱包” 运营方平安付公司有所察觉。平安付公司事后的报案材料显示,6 月 12 日,平安付公司发现黄丽丽账户异常后,曾与黄丽丽电话沟通,确认所有操作由叶榅飞完成。随后,平安付公司报警,叶榅飞于 2016 年 7 月被刑事拘留,9 月 1 日被逮捕。 一审判刑 11 年 罚金 50 万 警方查明,8 天时间内,叶榅飞的转账总额达到 1125.64 万元,其中 884 万余元被用于购买平安银行理财产品,241 万余元用于购买黄金、归还债务,并购买了奥迪 A4 和 A6 轿车各一辆。案发后,平安付公司将叶榅飞名下 884 万余元理财产品以及账户余额、理财产品利息等冻结。黄丽丽偿还了 29.6 万元,但仍有约 206 万元无法给付。平安付公司的报案材料证实,2016 年 6 月 2 日至 12 日,“壹钱包”的还款渠道系统曾出现问题。 2016 年 11 月 25 日,上海奉贤区检察院以盗窃罪对叶榅飞提起公诉。之后,奉贤法院分别于 6 月和 9 月两次开庭审理。近日,叶榅飞的辩护律师吴绍平收到该案判决书。奉贤法院一审判决书显示,庭审中,叶榅飞对指控的事实、罪名均有异议。叶榅飞的辩护人同样提出,其在主观上没有非法占有的目的、客观上没有实施秘密窃取的行为,属于民事范畴的不当得利,不构成犯罪。 奉贤法院并未采纳这一辩护意见。法院认为,叶榅飞以非法占有为目的,秘密窃取公私财物,数额“特别巨大”,已触犯刑律,构成盗窃罪。法院称,叶榅飞明知银行卡支付系统出现故障,仍反复操作并取款,“依法应予惩处”。由于叶榅飞在家属帮助下退赔部分赃款,“可以酌情从轻处罚”,判处有期徒刑 11 年,并处罚金 50 万元。此外,叶榅飞及黄丽丽未偿还的近 206 万元,也需退赔。 叶榅飞妻子:不是主动侵入系统偷钱 近日,叶榅飞妻子黄丽丽在接受新京报记者采访时表示,已经提出上诉。她称丈夫出事后,自己查询才发现,丈夫名下有各种欠款。她希望法院在二审时考虑到平台自身的责任,予以从轻判决。 记者:叶榅飞为什么不用自己名义绑定账户? 黄丽丽:具体情况我也不是很清楚,我们家里的钱,一直是他做主。好像是他名下有贷款和欠款,没有办法办理,所以都是用我的名义办卡,但是一直是他在用。 记者:什么时候知道叶榅飞在利用漏洞套现? 黄丽丽:他主动告诉我的,我之前没有过问。知道这个事后,我有点慌,说这是犯法的钱,不能用,他说跟那边客服商量,准备分期把钱还了,我就没有太在意。 记者:买了这么多东西,你没有察觉到异常? 黄丽丽:他消费从来不会跟我商量,我们以前就是这样。经济来源是他,我也不知道家里挣多少钱,所以我也不会问。而且,银行绑定的手机卡,虽然是我的名义申请,但还是他在用,所以我也没看到扣款短信。 记者:家里现在的经济状况怎么样? 黄丽丽:生了孩子后,我就在家里没有出去工作。因为以前一直没有管过钱,出事之后才发现,叶榅飞的信用卡、各种借贷软件、白条上借了一大笔钱,都需要还。现在就是跟家里人借钱过日子,然后白天在亲戚开的美容院帮忙。 记者:怎么看待现在的判决? 黄丽丽:我一直以为把钱还上就没事了,毕竟是系统出了问题,不是我们主动侵入系统偷钱用。但是没想到会被判刑,感觉还是比较重的。 记者:对于上诉有什么想法? 黄丽丽:转账系统出现漏洞,这个事上,双方都有责任吧,希望二审的时候考虑这一点。在进行处罚时,平台和我们双方共同进行承担。 律师:适用法律正当 但可争取减刑 一种声音认为,叶榅飞的行为,主观上没有非法占有目的,客观上没有实施盗窃行为,属于民事上的不当得利,不应判刑。对此,北京律师张新年表示,依据《刑法》相关司法解释,盗窃公私财物数额一千元以上,即属于数额较大情形,达到入刑标准。因此,一审法院认定盗窃罪名成立无可厚非。 张新年强调,软件系统故障是涉案行为诱因,在此情形下,叶榅飞是否应当为故障引发的后果承担刑事责任是本案焦点。其表示,盗窃罪核心在于非法占有目的,立法目的在于打击严重的不诚信行为。本案中,叶榅飞利用系统故障,处分他人资金,且未经过资金管理者同意,符合盗窃罪构成要件。至于系统故障,仅仅是对其量刑的考量因素,并不影响对盗窃行为的定性。 关于量刑问题,张新年表示,依据《刑法》及司法解释规定,盗窃数额达到三十万元以上,即属于数额特别巨大情形,依法处十年以上有期徒刑或者无期徒刑。所以说,一审法院刑期在法定量刑范围内,本身并无不合法之处。但从情理上说,《刑法》规定了特殊减刑制度,即虽然不具有法定减刑情节,但是根据案件的特殊情况,经最高院核准,也可在法定刑之下量刑,因此可以争取减刑。 稿源:cnBeta、新京报,封面源自网络;

比特币挖矿用电被禁?国网四川分公司:系误读

11 月 14 日,一份落款为国网四川甘孜州电力有限责任公司丹巴县供电分公司下发的《关于禁止比特币生产的紧急通知》的文件,在国内比特币行业内流传,引发媒体报道和广泛关注。对此,记者随后联系到国家电网四川省电力公司相关工作人员,其表示没有发布过禁止比特币挖矿的文件,从管辖范围来说,电网公司也无权管辖,此前的一系列传闻是外界误读。 通知称比特币生产是非法经营 11 月 14 日晚,一位比特币 “矿工” 发给记者的截图显示,相关通知称,比特币生产属于非法经营,各并网电站也属于非法转供电经营行为,自接到通知之日起,各并网电站“全部停止比特币生产”,发电量由章谷变电站统一调度安排。文件下发时间为 11 月 3 日。该通知同时强调,对于继续非法转供电的并网电站,将予以“解网处罚”。 对此,一位矿工向记者表示,通知中的严厉措辞让他感到惊愕,“之前从没听监管层说过挖矿是非法的,而且自己的矿场也没有收到过(类似)文件。不少矿工也表达了类似的担忧。有在甘孜州经营比特币矿场的人士称:尚不确定消息是否为真,但自己的矿场已停止经营,由于冬季来临,已经准备将矿机迁往内蒙,确保“万无一失”。 系部分中小电站无供电资质 比特币挖矿真的被禁止了吗?对此,记者 11 月 15 日上午联系到国家电网四川省电力公司相关工作人员,其称,此前的一系列传闻或是外界误读。“电力公司又不是国家行政机关,怎么能决定比特币挖矿的性质呢?”该工作人员进而解释到,“电力公司的管辖范围就是用电,不管是比特币挖矿还是其他生产经营行为,只有用电方式不合法,公司才有权去约束和管控,这是一个基本前提。” 该工作人员同时称,据了解,丹巴县供电分公司下发的通知,并非公司正式文件,而是当地工作人员发布的。起因是当地进入枯水期后,发电量已经无法满足民生需求,而有部分中小电站并没有供电资质,却还在给矿场发电,才紧急发布的这一通知。 对此,有知情人士向记者透露,通知下发后,当地供电公司和水电站就已协商并达成协议,表示在冬季枯水期将优先保证民生用电。“没想到网上有人传出了这个通知,形成了比特币挖矿被禁止的一种舆论,这个解读是错误的,甚至不排除有人炒作。” 今年 9 月,ICO 等代币发行融资活动被国家多部委定性为非法融资并紧急叫停。此后,关于关闭比特币交易所的监管要求下发后,各大交易所也纷纷停止了国内的比特币交易业务。不过,就进行比特币“挖矿”是否违法,监管层面并未有过明确表态。根据财新报道称,监管人士曾表示目前还并没有国内禁止挖矿的计划。 稿源:cnBeta、每日经济新闻,封面源自网络;

Top 500 榜单:中国超算数量入榜、首次超越美国

根据本周一公布的最新一期 Top 500 榜单显示,中国超算数量以 202 台入榜、首次超越美国。据悉,美国今年上半年还有 169 台入榜,但下半年只有 143 台。 中国的超算仍然占据了前两名,其神威太湖之光以 93 petaflop/s 继续称霸,天河二号以 33.9 petaflop/s 排名第二,排名第三的是瑞士的 Piz Daint,运算速度 19.59 petaflop/s,之后是日本海洋与地球科技研究社的 Gyoukou,运算速度 19.14 petaflop/s,美国橡树岭国家实验室超算泰坦的 17.59 petaflop/s,Sequoia 的 17.17 petaflop/s 等。 神威太湖之光采用了中国自行研发的申威 SW26010 260C 1.45GHz 处理器,每个处理器 260 个核心,总共 10,649,600 个核心,内存 1280 TB,操作系统是基于 Linux 的 RaiseOS 2.0.5。 在 Top 500 中,中国 202 台、美国 143 台、日本 35 台、德国 20 台、法国 18 台、英国 15 台。其中 471 台超算使用了英特尔处理器,14 台超算使用了 IBM Power 处理器。惠普企业制造的超算最多共 122 台,其次是联想 81 台、浪潮 56 台、克雷 53 台、曙光的 51 台、IBM 的 19 台。 稿源:solidot奇客,封面源自网络;