《网络安全审查办法》发布、本田讴歌汽车受漏洞影响、谷歌收购SOAR安全公司｜网络安全周报
2022年1月1日至1月7日共收录全球网络安全热点10项，主要集中在网络攻击、漏洞修复方面,涉及Google、iOS、本田汽车等。
01 《“十四五”国家信息化规划》发布，全面阐述信息化安全需求
12月27日，中央网络安全和信息化委员会印发《“十四五”国家信息化规划》(以下简称《规划》)，对我国“十四五”时期信息化发展作出部署安排。
《规划》强调安全是信息化建设的重要保障，将网络安全作为主攻方向之一，以“防范化解风险，确保更为安全发展”为主题，提出要全面加强网络安全保障体系和能力建设，加强网络安全信息统筹机制建设，形成多方共建的网络安全防线，并对网络安全提出更具体的要求。
02 沃尔玛违反网络安全法被处罚
近日，沃尔玛（中国）投资有限公司（以下简称：沃尔玛）近日再次新增行政处罚信息。该公司因违反相关法规被公安部门警告。此前，因产品质量违法行为等，沃尔玛被有关部门多次处罚。
公安机关于2021年11月25日在工作中发现沃尔玛的网络系统，存在可利用的网络安全漏洞共十九项。其行为违反了《中华人民共和国网络安全法》，未及时处置系统漏洞的违法行为。处罚结果为决定给予警告的行政处罚，并责令改正。
03 网信办联合十三部门发布《网络安全审查办法》
1月4日，国家网信办联合十三部门联合修订发布《网络安全审查办法》（以下简称《办法》），自2022年2月15日起施行。国家互联网信息办公室有关负责人表示，网络安全审查是网络安全领域的重要法律制度，对于保障关键信息基础设施供应链安全，维护国家安全发挥了重要作用。
《办法》将网络平台运营者开展数据处理活动影响或者可能影响国家安全等情形纳入网络安全审查，并明确掌握超过100万用户个人信息的网络平台运营者赴国外上市必须向网络安全审查办公室申报网络安全审查。根据审查实际需要，增加证监会作为网络安全审查工作机制成员单位，同时完善了国家安全风险评估因素等内容。
04 谷歌以5亿美元收购网络安全公司Siemplify
1月4日，据报道，谷歌将以约5亿美元的价格收购以色列网络安全初创公司Siemplify，这是谷歌首次收购以色列安全公司。
谷歌将把Siemplify作为其在以色列的网络安全业务的基础，是谷歌开展云业务的一部分，Siemplify的联合创始人将继续留在公司，交易完成后，Siemplify将被并入谷歌云平台，原有员工也将加盟谷歌。
05 本田、讴歌汽车被Y2K22千年虫漏洞击中
2022年1月1日，本田、讴歌汽车导航系统的日期被自动修改到2002年1月1日，时间被重置到12点、2点和4点，具体与汽车所在的位置、时区、型号有关，且没有办法修改。根据用户报告情况，此次bug影响所有的本田、讴歌汽车，包括Honda Pilot、Odyssey、CRV、Ridgeline、Odyssey和Acura MDX、RDX、CSX、TL型号。根据Honda客户服务给出的回应，该bug将会在2022年8月自动修复。
06 Google Chrome更新修复37个安全漏洞
1月4日，谷歌发布Chrome97，共有37个安全修复程序，其中24个是针对外部研究人员报告的漏洞。此次Chrome版本中修复的低严重性错误包括Service Workers中的策略绕过以及Web Share和密码中的不当实现。
在外部报告的24个安全漏洞中，1个被评为严重级，10个为高严重性，10个为中等，3个为低级。最常见的漏洞类型是释放后使用（七个错误）和不正确的实施（八个问题）。最严重的是CVE-2022-0096，这是存储中的一个释放后使用问题，可被用在浏览器中。
07 美国金融巨头因数据泄漏支付6000万美元
近日，美国金融巨头摩根士丹利(Morgan Stanley)同意支付6000万美元的和解金，以解决一起数据泄露诉讼。
据了解，此次数据泄露事件主要是因为，该公司此前淘汰的一批旧设备（包括一些旧的服务器以及一些其他数据技术），在用户数据没有被清理干净的情况下被出售，导致数据集可能已经以未加密的方式暴露出来，从而被购买方查看。
和解文件显示，摩根士丹利否认有不当行为，并对其数据安全做法进行了“实质性”升级。
08 恶意软件可以窥探iOS用户摄像头和麦克风
1月5日，据BLEEPINGCOMPUTER报道，研究人员开发了一种新技术，可以伪造iPhone关机或重启，防止恶意软件被删除，允许黑客秘密监听麦克风，并通过实时网络连接接收敏感数据，以此让恶意软件实现长久运行。
由于这种被研究人员称为“NoReboot”的攻击没有利用iOS上的任何缺陷，而是依赖于人为欺骗，因此Apple无法对其进行修补。
09 多家知名企业近110万个客户账户遭黑客窃取
1月5日，纽约州总检察长办公室(NY OAG)警告17家知名公司，他们约有110万客户的用户帐户在撞库攻击中遭到入侵。攻击者的最终目标是访问尽可能多的帐户，以窃取相关的个人和财务信息，这些信息可以在黑客论坛或暗网上出售。在监视多个在线社区后，发现了这些受感染的在线帐户。
威胁行为者还可以在各种身份盗用诈骗中使用这些信息，或进行未经授权的购买。Digital Shadows去年报道称，目前有超过150亿份凭证在网上共享或出售，其中大部分属于消费者的个人信息。
10 研究报告预测：黑客将对房地产网站发起供应链攻击
1月4日，据Palo Alto Networks的Unit 42研究人员称，攻击者利用云视频托管服务对苏富比房地产公司运营的100多个房地产网站进行了供应链攻击，其中涉及注入恶意Skimmer代码以窃取敏感的个人信息。
Skimmer攻击，也称为表单劫持，不法分子将恶意JavaScript代码插入目标网站，它最常出现在购物和电子商务门户网站上的结账或支付页面，以获取用户输入的信用卡密码等有价值的信息。
为了防止恶意代码注入在线站点，建议企业定期对 Web 内容进行完整性检查。