据外媒3日报道，佛罗里达州的税务局网站存在一个安全漏洞，泄露了至少数百个纳税人的社会安全号码和银行帐号。该漏洞为不安全的直接对象引用（IDOR），由于申请编号是连续的，任何人都可以通过将申请编号递增一位来列举纳税人的信息，系统中有超过713000份申请。登录该网站的任何人，都可以通过修改包含纳税人申请号码的网址部分，访问、修改和删除该税务机关存档的企业主的个人资料。

据媒体12月1日报道，AndroidOEM设备供应商用于对核心系统应用进行数字签名的多个平台证书被用于对包含恶意软件的应用进行签名。研究人员发现多个使用这些平台证书签名的恶意软件样本，并提供了每个样本的SHA256哈希值和数字签名证书。其中部分属于三星、LG、Revoview和联发科，其它证书尚无法确定属于谁。使用这些证书签名的恶意软件包括HiddenAd木马、信息窃取程序、Metasploit和恶意软件植入程序。

12月2日，Google发布紧急更新，修复Chrome中已被利用的0day漏洞(CVE-2022-4262)，此漏洞通常被用于通过读取或写入缓冲区边界外的内存导致浏览器崩溃，也可被用于执行任意代码。虽然Google表示它已检测到利用这个漏洞的攻击，但尚未分享有关这些事件的技术细节或信息。这是Google Chrome在今年修复的第9个0day。

近日，中国科学技术大学网络空间安全学院薛开平教授团队在移动设备蓝牙安全研究中取得重要进展，实现了在用户无感知、无交互、无需恶意程序配合的情况下，通过蓝牙协议漏洞对目标设备进行有效攻击。此项研究所发现的蓝牙协议相关的7个高危漏洞、2个中危漏洞被国家信息安全漏洞共享平台（CNVD）定级并收录。并在Android、iOS、iPadOS、macOS、HarmonyOS等系统的各类智能设备中进行了测试，在所有被测设备中发现了相关漏洞并完成攻击流程。

近日，腾讯WiFi管家官方称，因业务调整，腾讯WiFi管家于12月1日零时起正式停止服务，用户将无法使用腾讯WiFi管家任何功能和服务，在停止服务后将依法对用户资料等数据进行删除。腾讯WiFi管家出品的“WiFi一键连”也将于12月28日零时零分起停止服务。据悉，腾讯WiFi管家通过腾讯公司与全国商家之间的关系，建立了海量的公共免费WiFi热点数据库。

12月2日，“强化网络安全保障体系 护航数字经济发展创新”论坛在贵州举行。论坛上，中国工程院院士沈昌祥分别从“数字经济时代的机遇与挑战”“构建安全可信网络空间新生态”“落实等级保护制度 保障数字经济健康发展”三个方面进行阐述，对于如何保障数字经济健康发展，其建议，一是开创可信计算3.0时代；二是抢占核心技术制高点，摆脱受制于人的局面；三是采用可信计算3.0安全可信产品，筑牢网络安全防线。

据外媒报道，独立网络安全安全研究人员 Martin Herfurt声称，发现一种滥用蓝牙连接并窃取用户数据的网络攻击，称为“Bluebugging”，黑客可以通过连接到TWS（真正的无线立体声）耳机或其他设备的应用程序来记录用户的对话，访问联系信息、窃听电话、查看和发送消息等等。

在最近德勤发布的一份报告中，研究人员表示随着基础设施之间的联系越来越紧密，智能技术、基础设施供应商和运输模式不断扩大的生态系统中的网络脆弱性将增加，所以网络安全审查应该从采购阶段开始就被纳入。设备应在当地设施中进行测试，以了解其漏洞并制定违规事件协议。此外，治理模型和机构文化必须不断发展，以提高机构的整体网络态势。

Takepoint Research (TPR)近日发布了一份最新调查报告，该报告发现绝大多数受访者表示OT（运营技术）恢复流程应由OT专业人员而非IT负责。报告继续评估认为，为了将OT ICS恢复交给OT部门，仍需要进行相当大的转变。为了建立和加强工业攻击准备和弹性，TPR调查报告指示OT ICS环境采用由TP Research开发的事件弹性成熟度模型。

印度计算机应急响应小组(CERT-In)调查了德里全印度医学科学研究所(AIIMS)服务器受到的网络攻击，发现AIIMS没有采取任何措施来保护其网络，而且在他们的防火墙和网络中也没有安全策略。同时，DCP(网络犯罪部门)Prashant Priya Gautam说:“受影响服务器的法医图像已经被送到实验室进行分析。分析正在进行中。AIIMS管理部门和其他机构正在恢复服务。目前没有人提出赎金要求。”

据外媒4日报道，在遭受网络攻击后，Cambridge Water客户的银行账户详细信息已发布到暗网上。目前，Cambridge Water已告知其客户，表示，犯罪分子可能会使用这些泄露的数据进行欺诈，特别是通过泄露的数据向银行或建筑协会提交欺诈性的直接借记授权书。该公司已经客户设立了求助热线，并为客户提供为期一年的免费信用监控。

据外媒4日报道，网络安全专家确定的2023年需要关注的五个主要网络安全趋势：一是5G的广泛应用加剧漏洞态势恶化；二是联网医疗设备安全形势严峻；三是云供应链攻击；四是数据主权的争论加剧；五是元宇宙成为网络犯罪的新空间。

据外媒报道，一种名为“DuckLogs”的新恶意软件服务已经出现，该软件可以帮助攻击者轻松访问多个模块来窃取信息、记录按键、访问剪贴板数据以及远程访问受损主机。近日，DuckLog声称有数千名网络犯罪分子付费订阅，以生成和启动4000多个恶意软件版本。研究人员表示，最初的感染载体可能会通过电子邮件（垃圾邮件、网络钓鱼）发送，并建议用户不要打开来自陌生链接。

据新加坡《联合早报》报道，年底佳节将至，诈骗团伙伺机而动。新加坡警察部队和网络安全局12月1日发表联合公告，列出当地八种最常见的网络诈骗陷阱，敦促网购买家、电商平台和商家加以防范。这些诈骗手法包括：假网站和网络钓鱼、虚假或恶意的应用、钓鱼电邮或手机短信、冒充政府官员或熟人来电实施诈骗、网购诈骗、旅游配套诈骗、求职诈骗和贷款诈骗。

据外媒30日报道，Connexin Software近期通知HHS其数据泄露事件影响了200万个患者。该公司是一家为儿科医疗团队提供电子病历和执业管理软件、计费服务和业务分析工具的供应商。8月，Connexin在内网检测到数据异常，之后立即展开调查。9月，确认未经授权的第三方能够访问用于数据转换和故障排除的一组离线病人数据。目前，Connexin重置了所有公司帐户的密码，将患者数据移至更安全的环境中，并通过Kroll为受影响患者提供一年的身份监控服务。

据媒体11月30日报道，电力供应商法国电力公司(EDF)因违反欧盟通用数据保护条例(GDPR)，被法国数据保护监管机构罚款60万欧元。国家信息和自由委员会(CNIL)表示，该公司在2022年7月使用MD5算法对25800多个帐户进行hash处理来存储密码，使账户持有人面临潜在的网络威胁。该调查还指责EDF未能遵守GDPR数据保留政策，并提供了关于所收集数据来源的不准确信息。

据中新网报道，香港今年共接获19444宗诈骗案件，按年上升近4成，其中电话骗案数字上升1.3倍，主要为“假冒官员”及“猜猜我是谁”案件。除此之外，警方亦接获1176宗网恋骗案，有86岁老妇与骗徒于网上认识并交往，被骗近万元（港币）。香港商业罪行调查科反诈骗协调中心颜凯欣表示，两种罪行的受害人均以女性较多，占整体受害人达7成。

据外媒报道，俄罗斯市长的办公室和法院遭到了一种新的加密病毒的攻击。该程序在计算机上对数据进行编码，要求支付赎金——超过50万卢布。但是，即使您将这笔金额转移给黑客，病毒也会将文件完全删除。卡巴斯基实验室的专家解释说，CryWiper会破坏所有格式文件的内容，它的主要用途是数据库、档案、个人用户文档，但不会自动销毁文件，它会向命令和控制服务器发送请求，只有在获得许可后才会开始工作。

据外媒报道，美国商会在12月1日警告欧盟不要采用可能将亚马逊、谷歌、微软和其他非欧盟云服务提供商排除在欧洲市场之外的规则。据了解，出现争议的是欧盟网络安全机构ENISA的草案，该文件称，云服务必须在欧盟运营和维护，所有云服务客户数据都在欧盟存储和处理，欧盟法律优先于非欧盟法律。美国商会则表示，欧盟应避免采用政治性质而非技术性质的要求，这将排除合法的云供应商并且不会加强有效的网络安全控制。

英国数字、文化、媒体和体育部(DCMS)于11月30日宣布，英国政府将把网络和信息系统(NIS)法规扩展到所有数字托管服务提供商(MSP)。该更新旨在更好地保护基本的日常服务，包括医疗保健、水、能源、运输和计算，免受现在和未来日益复杂和频繁的网络攻击。NIS源自欧盟指令，于2018年在英国生效，旨在改善提供关键服务的公司的网络安全。