黑客在无人机上装工具包，飞到金融公司楼顶通过WiFi入侵内部网页；违规处理政务类数据，某科技公司违反《数据安全法》被行政处罚
2022-10-15 09:55:38 Author: 黑白之道(查看原文) 阅读量:23 收藏


黑客在无人机上装工具包，

飞到金融公司楼顶通过WiFi入侵内部网页

一个看似平常的一天，美国东海岸一家专注于私人投资的金融公司的工作人员发现其Atlassian Confluence内部页面出现了一些反常现象。
查找原因的过程中，一系列线索指引安全人员登上了大楼的顶部。
在楼顶，两架无人机出现在眼前。
据海外媒体theregister报道，两家无人机从外形上看跟Matrice600Phantom形似，两架无人机都经过了改装。
经过分析，黑客正是利用两台无人机搭载的一些电子设备，通过WiFi入侵了公司的内部网络。黑客，又玩出了新活。
两架无人机搭载攻击设备，入侵金融公司内部网页，安全研究员格雷格•利纳雷斯(Greg Linares)最近讲述了这一起事件。
他在推特上表示：
今年夏天，一家专门从事私人投资的东海岸公司在其内部Confluence页面上检测到他们自己网络的异常活动。团队隔离了Confluence服务器并开始事件响应。
Atlassian Confluence是一套专业的企业知识管理与协同软件，也可以用于构建企业WiKi，其客户遍布全球，目前有超过75,000家客户使用该产品。
在发现页面异常后，该公司的安全团队做出回应，发现访问公司WiFi网络的设备的MAC地址居然在几英里外。
这可是一个危险信号！该团队随后采取措施追踪Wi-Fi信号，并使用Fluke系统识别WiFi设备。
雷格解释说: “这把研究小组引导到了屋顶，在那里发现了两台无人机，两架都进行了改装。”
其中一台无人机状态良好，装有一个改进过的WiFi设备，用于网络渗透测试。另一台无人机携带着一个箱子，里面装着一个树莓派，几个电池，一台GPD迷你笔记本电脑，一个4G调制解调器和另一个WiFi设备。
它降落在建筑物的供暖和通风系统附近，看起来受到了损坏，但仍然可以使用。
雷格解释说：“在调查过程中，他们确定其中一台无人机搭载的设备最初是在几天前被用来拦截一名工作人员的凭证和WiFi信息的。”
随后，这些数据后来被硬编码到另一台无人机的部署工具中。
登入WiFi后，无人机上的工具被用来瞄准该公司内部的Confluence页面，以便利用存储在那里的凭证连接到其他内部设备。雷格说，这次攻击成效有限，是他在过去两年中看到的第三次涉及无人机的网络攻击。
攻击者可能就是专门针对一个由第三方和内部使用的限制网络，这个网络由于
公司最近的变化（例如重组/重新命名、新建筑、新建筑租赁、新网络设置或任何这些情况）而不安全。
虽然攻击者的身份尚未公布，但雷格认为，这帮人肯定做了充分调查。
他说: “这绝对是一个威胁分子，他可能进行了数周的内部侦察，与目标环境非常接近，有适当的预算，并且知道自己的实际安全限制。”大疆不背这个锅，无人机攻击是一个长期问题
用无人机帮助攻击成为现实，过去十年间，包括在美国和欧洲举行的黑帽2016等安全会议上，人们一直在探讨使用面向消费者的无人机进行黑客攻击的想法。
格雷也说，他在2011年参与了一个无人机项目，以测试网络攻击能力，当时，无人机功率、携带重量和续航都是限制因素。
但是随着现在无人机性能的发展，这种攻击成为了可能。
“我们在2015年重新审视了这个问题，无人机技术取得了长足的进步，”他说，“现在到了2022年，我们看到无人机在功率、续航和性能方面都取得了惊人的进步。”
因此，金融科技/加密技术和供应链中的目标或关键的第三方软件供应商将成为这些攻击的理想目标，攻击者可以轻松地用直接的财务收益或获得更有利可图的目标来支付其攻击所花费的成本。
显然，这是传统攻击的一次升级，无人机在其中只是发挥了工具的作用，重要的还是取决于使用它的人。

某科技公司违反《数据安全法》

被行政处罚

上海网信办监督处罚！


近期，上海网信办发现，某科技公司在处理政务类数据时违规操作，且未采取相应的技术措施和其他必要措施保障数据安全，导致数据存在泄露风险。上海网信办依据《中华人民共和国数据安全法》对该公司责令改正，给予警告，并处以人民币五万元罚款的行政处罚。

上海网信办相关负责人表示，数据安全关乎人民群众切身利益，关乎国家安全和社会稳定，上海网信办将针对数据安全保护义务履行不力，造成重要数据泄露风险的违法违规行为加强监督检查和执法，进一步营造安全稳定的网络环境。
法律·链接
《中华人民共和国数据安全法》第二十七条：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
《中华人民共和国数据安全法》第四十五条规定：开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

文章来源 ：安全学习那些事儿、大数据文摘

精彩推荐

最难就业季|“本想先读书躲一躲，谁料行情还不如两年前”

‍

‍


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650553811&idx=1&sn=4c794869f47c9f54acf3e995fd43fbf1&chksm=83bd5837b4cad121e59e20ac23e7336039d6fee3df4c744be21ded0ede029f03ebeea0ad0179#rd
如有侵权请联系:admin#unsafe.sh