11月7日消息，安全团队Positive Security近日发现，网站扫描和分析引擎urlscan.io可泄露敏感的URL和数据。Urlscan.io是一个Web沙箱工具，通过其API集成到多个安全解决方案中。鉴于此API的集成类型以及数据库中的数据量，有大量的数据可被匿名用户搜索和检索。Positive Security在2月份的初步调查中，发现了属于苹果域名的url，其中一些还包括共享的iCloud文件和日历邀请回复链接。最重要的是，分析还发现配置错误的安全工具会将通过邮件收到的所有链接作为公共扫描数据提交给urlscan.io。

据路透社报道，澳大利亚保险公司Medibank11月7日证实，在最近的一次勒索攻击中该公司约970万名现客户或前客户的姓名、出生日期、地址、电话号码和电子邮件等个人信息遭泄露。该公司表示，支付赎金或许并不能阻止客户数据被攻击者公开，因此不会向最近对其发动网络攻击并窃取数据的犯罪分子支付赎金。该公司警告其客户，必须提高警惕犯罪分子在网上公布数据或实施电信诈骗造成的风险。

11月7日，市场监管总局标准技术司、中央网信办网络安全协调局、公安部网络安全保卫局在京联合召开国家标准发布宣贯会，发布我国首个关键信息基础设施安全保护的国家标准——《信息安全技术 关键信息基础设施安全保护要求》（GB T 39204-2022）。《信息安全技术 关键信息基础设施安全保护要求》是关键信息基础设施安全保护标准体系的构建基础，将于2023年5月1日正式实施。

近日，美国财政部下属金融犯罪执法网络FinCEN发布了一份研究报告，声称2021年勒索软件攻击及赎金支付创下历史新高。报告周期内的勒索软件攻击事件从487起上升为1489起，勒索攻击总损失则从前一年的4.16亿美元飙升至12亿美元。报告指出，在过去两年中，勒索软件行为者已经由多数的机会主义方法转变为了更深思熟虑的方法，如精挑细选更合适的受害者，重点针对大型企业，并索要更多的赎金以最大限度地提高投资回报率。

11月7日，据丹麦广播公司DR报道，由于受到网络攻击影响，上周六（11月5日）丹麦最大的铁路运营公司DSB旗下所有列车均陷入停运，连续数个小时未能恢复。遭受攻击的是丹麦公司Supeo，该公司专为铁路、交通基础设施和公共客运提供资产管理解决方案的外包供应商。Supeo可能经受了一次勒索软件攻击，但该公司并未披露任何信息。

11月7日，工业和信息化部会同银保监会起草的《关于促进网络安全保险规范健康发展的意见（征求意见稿）》（下称《意见》）发布。《意见》提出，加强网络安全产业政策对网络安全保险的支持，推动网络安全技术服务赋能网络安全保险发展，引导关键信息基础设施保护、新兴融合领域网络安全保障等充分运用网络安全保险。

近日，北京市通信管理局依法组织开展北京地区APP技术检测工作，发现包括保卫萝卜4、天天农场等20款存在侵害用户权益和安全隐患等问题的APP。通报要求有关APP运营企业应立即整改，并于11月15日前提交整改报告。逾期不整改或整改不到位的，北京市通信管理局将依法依规予以处置。

　中国工业互联网研究院6日发布的《中国工业互联网产业经济发展白皮书》预计，2022年我国工业互联网产业增加值规模将达到4.45万亿元，占GDP比重3.64%。目前，我国工业互联网加速向实体经济渗透，已覆盖国民经济45个大类。2021年，工业互联网渗透产业增加值规模为2.93万亿元；预计2022年工业互联网渗透产业增加值规模将达到3.16万亿元。

据外媒11月4日报道，Robin 银行的网络钓鱼即服务（PhaaS）平台重新投入使用，其平台在今年7月运营中断，目前，Robin银行的基础设施由一家俄罗斯互联网公司托管以提供对分布式拒绝服务（DDoS）攻击的保护。

据外媒报道，推特近期宣布一个新的收费计划，用户需要每月支付8美元以保留其账号的“蓝V认证”等特权。研究人员发现，在推特宣布此计划后，出现了针对认证用户的网络钓鱼活动。攻击者利用入侵的网站和服务器发送钓鱼邮件，在邮件中敦促用户登录其推特账号以免除认证被去除的风险，并在邮件中添加了恶意链接，该链接会跳转到钓鱼网页中，此网页利用推特的收费计划诱使受害者填写账号和密码信息，并向受害者发送短信验证码。

11月4日消息，新加坡已正式成立其第四个军事部门，国防数字安全与情报部队，旨在应对数字领域的现代威胁，并利用该领域的新兴技术。该部队包括一个总部、一个联合情报局、一个数字和C4联合部队以及一个网络参谋部。

据外媒报道，著名的注册会计师事务所Kearney&Company于11月5日被添加到LockBit 3.0的受害者名单中。其为美国政府提供审计、咨询和 IT 服务。LockBit 3.0的勒索金额为200万美元，他们表示，如果该公司不支付赎金，将在2022年11月26日之前发布被盗数据，包括财务文件、合同、审计报告、账单文件等。

11月4日消息，中央网信办发布《关于切实加强网络暴力治理的通知》。《通知》表示要建立健全网暴预警预防机制，强化网暴当事人保护，严防网暴信息传播扩散，依法从严处置处罚。另外《通知》也对执行相关工作提出了要求。

11月7日消息，国务院新闻办公室发布《携手构建网络空间命运共同体》白皮书。构建安全共同体，倡导开放合作的网络安全理念，坚持安全与发展并重、鼓励与规范并举。加强关键信息基础设施保护和数据安全国际合作，维护信息技术中立和产业全球化，共同遏制信息技术滥用。进一步增强战略互信，及时共享网络威胁信息，有效协调处置重大网络安全事件，合作打击网络恐怖主义和网络犯罪，共同维护网络空间和平与安全。

11月7日消息，为贯彻落实党中央、国务院关于网络强国的战略决策部署，加快推动网络安全和金融服务创新融合发展，大力培育网络安全保险新业态，促进网络安全产业高质量发展，工业和信息化部会同银保监会起草了《关于促进网络安全保险规范健康发展的意见（征求意见稿）》，并对其公开征求意见。截止日期为2022年11月18日。

据外媒报道，微软日前发布了2022年数字防御报告。微软指出，在公开披露漏洞后，平均只需14天即可被在野利用，而在GitHub上发布漏洞利用代码则需要60天。研究人员观察到，0day漏洞最初是在具有针对性的攻击中被利用的，然后很快在野外攻击中被采用。微软总结道，漏洞正在被大规模地发现和利用，而且时间越来越短。他们建议组织在oday漏洞发布后立即进行修复，还建议记录和清点所有企业硬件和软件资产，以确定它们是否遭到攻击。

11月2日，Lookout发布了关于2022年美国政府机构威胁态势的分析报告。该报告基于对2021年至2022年下半年的2亿台设备和1.75亿个应用程序进行分析，发现美国政府员工使用的Android手机中，近一半运行的是过时的操作系统版本。针对移动用户最常见的攻击是恶意软件的传播，约占75%，而凭证窃取则占剩余比例的大部分。2022年，Lookout监控的11名政府员工中有1人遭到钓鱼攻击。那些点击恶意链接并被警告的人中，57%没有再重复他们的错误，19%的人点击了两次，24%的人点击了三次以上。

据Group-IB 11月3日称，黑客团伙OPERA1ER利用现成的黑客工具，已从银行和电信服务提供商窃取了至少1100万美元。除了主要针对非洲的公司外，该团伙还攻击了阿根廷、巴拉圭和孟加拉国的组织。从2018年到2022年，黑客总共发起了超过35次成功的攻击，其中约三分之一是在2020年进行的。OPERA1ER利用鱼叉式钓鱼攻击获得初始访问权限，主要依靠开源工具、商品恶意软件以及Metasploit和Cobalt Strike等框架来入侵公司的服务器。

据外媒报道，沃达丰意大利公司通知其客户关于经销商FourB SpA被黑导致的数据泄露事件。攻击发生在9月的第一周，泄露了用户的详细信息，如订阅信息、身份证件和联系方式等。目前，FourB已经关闭了对被入侵服务器的访问，并实施了更高级别的安全策略。2022年9月3日，自称KelvinSecurity团伙曾声称攻击了Vodafone Italia并窃取了295000个文件，总计310 GB的数据。沃达丰回应称其公司内部IT系统并未遭到未经授权的访问，但将继续调查。尚不清楚该事件是否与此次披露的泄露事件有关。

Phylum 11月1日称其在PyPI注册表中发现了29个Python包，它们模仿流行的库，并在感染目标后分发窃取信息的恶意软件W4SP。Phylum研究人员透露，根据Pepy.tech的统计数据，这些软件包已被下载了超过5700次。此外，研究人员Hauke Lübbers发现了PyPI包pystile和threadings包含自称为GyruzPIP的恶意软件，该恶意软件基于一个开源项目evil-pip。Lübbers已将这些包报告给PyPI管理员。