爱尔兰监管机构就数据泄露对Meta处2.65亿欧元的罚款

爱尔兰数据监管机构周一对 Facebook 所有者 Meta 处以 2.65 亿欧元（2.75 亿美元）的罚款，原因是黑客网站泄露了超过 50 亿用户的详细信息。

数据保护委员会 (DPC) 表示，它是在“全面的调查过程，包括与欧盟内所有其他数据保护监管机构的合作”之后做出的决定。

Meta 的欧洲业务总部设在都柏林，还有许多其他主要的全球科技公司，包括谷歌、苹果和推特。

因此，爱尔兰的数据保护机构是负责追究他们责任的主要监管机构。 

监管机构发现由马克扎克伯格领导的社交媒体巨头违反了欧盟数据保护法的两项条款。

除了罚款之外，DPC 还表示已“发出谴责和命令”，要求 Facebook 所有者“通过在特定时间范围内采取一系列指定的补救措施，使其处理合规”。

作为对罚款的回应，Meta 发言人表示，该公司已就此问题与 DPC“充分合作”。

这家科技公司此前曾表示，这些数据是黑客在 2019 年从该网站“抓取”的，他们利用了一项旨在帮助人们使用联系人列表轻松找到朋友的功能。

“我们在这段时间内对我们的系统进行了更改，包括取消使用电话号码以这种方式抓取我们的功能的能力，”该发言人说。

“未经授权的数据抓取是不可接受的，并且违反了我们的规定，我们将继续与同行合作应对这一行业挑战。我们正在仔细审查这一决定，”他们补充道。

- 欧盟的担忧 -

爱尔兰监管机构于 2021 年 4 月启动调查，以确定欧盟范围内关于数据权利的通用数据保护条例 (GDPR) 宪章和相应的爱尔兰立法是否受到侵犯。

根据 2018 年生效的 GDPR，社交媒体用户拥有更广泛的与其数据相关的权利。

此前，爱尔兰监管机构在 Instagram 平台被发现违反处理儿童数据的规定后，于 9 月做出了一项具有里程碑意义的决定，对Meta 处以创纪录的 4.05 亿欧元罚款。

2019 年 7 月，在 Cambridge Analytica 丑闻之后，Facebook 因隐私控制被美国联邦当局处以创纪录的 50 亿美元罚款。

2021 年 9 月，DPC 还对 Meta 的即时消息应用程序 WhatsApp 处以 2.25 亿欧元的罚款，原因是其未能遵守其数据传输透明度规则。

在法国，CNIL 国家数据监管机构于 2022 年 1 月对Facebook 处以 6000 万欧元的罚款，原因是其使用在线“cookie”，即用于定位广告的数字跟踪器。

最近几周，由于科技行业普遍失业，欧盟表达了对数据隐私和内容审核标准下降的担忧。

Meta 本月早些时候表示，由于广告业务不景气，它计划裁员 11,000 多名员工。

微博平台 Twitter 在 10 月被 Elon Musk 收购后也招致了类似的批评。

科技企业家马斯克在收购 Twitter 时裁掉了 7,500 名员工中的大约一半，其中包括许多负责打击虚假信息的员工。

Oracle 融合中间件漏洞被广泛利用

美国网络安全和基础设施安全局 (CISA) 周一警告组织，2022 年初修补的一个关键 Oracle 融合中间件漏洞正在被攻击利用。

该安全漏洞被追踪为 CVE-2021-35587，影响了 Oracle Access Manager，它提供 Oracle Fusion Middleware 单点登录 (SSO) 解决方案。据发现该漏洞的研究人员称，受影响的产品被许多主要组织使用，例如 VMware、华为和高通。

该缺陷会影响 OpenSSO 代理组件，可允许未经身份验证的攻击者通过 HTTP 进行网络访问来控制 Oracle Access Manager。Oracle 于 2022 年 1 月发布了一个补丁，当时该公司发布了重要补丁更新。

Oracles 将漏洞报告归功于越南研究人员 Jang (VNPT) 和 Peterjson (VNG Corporation)。研究人员在 3 月份发表了一篇博文，详细介绍了他们的发现，并指出该漏洞是在分析他们所谓的“大型”融合中间件漏洞时发现的，甲骨文花了六个月时间修补该漏洞。

概念验证 (PoC) 漏洞也已经出现了几个月，因此恶意行为者一直试图利用 CVE-2021-35587 也就不足为奇了。

虽然 CISA 本周发出警报，但威胁情报公司 Greynoise 收集的数据显示，在野外利用该漏洞的尝试始于 9 月，活动在 10 月和 11 月有所增加。到目前为止，Greynoise 已经发现来自十几个唯一 IP 地址的利用尝试。

似乎没有任何其他报告描述涉及 CVE-2021-35587 的攻击。

威胁参与者以影响 Oracle 融合中间件产品（尤其是 Weblogic Server）的漏洞为目标的情况并不少见。

CISA 已将 CVE-2021-35587 添加到其已知利用漏洞目录中，并指示联邦机构在 12 月 19 日之前解决该漏洞。此外，该机构还将 CVE-2022-4135添加到其目录中，这是谷歌修补的第八个 Chrome 零日漏洞今年。

勒索软件组织Black Basta 认领枫叶食品黑客攻击

Black Basta 勒索软件组织将最近披露的对加拿大肉类巨头 Maple Leaf Foods 的攻击归功于此。

网络罪犯公开了几张技术文件、财务信息和其他公司文件的屏幕截图，以证明他们获得了 Maple Leaf Foods 系统的访问权限。

枫叶食品公司 (Maple Leaf Foods) 于 11 月初宣布，由于网络攻击，该公司正在经历一次停运。这家总部位于安大略省米西索加的包装肉类公司表示，在得知违规行为后立即采取了行动。

然而，在勒索软件攻击的情况下，当网络犯罪分子开始加密受感染系统上的文件时，受害者通常会意识到黑客攻击，此时大量信息可能已经被威胁者窃取。

Maple Leaf Foods 拥有大约 14,000 名员工，业务遍及加拿大、美国和亚洲。该公司最新的财务报告提到了网络攻击，但没有提供有关事件造成的损失的任何确切信息。

媒体与该公司取得联系，了解其是否计划支付赎金，但考虑到黑客已开始泄露数据，该公司可能不打算这样做。

Maple Leaf Foods 并不是唯一一家成为 Black Basta 勒索软件目标的加拿大大公司。网络罪犯最近还瞄准了超市和连锁药店Sobeys。该组织还侵入了国防巨头Elbit的系统。

Black Basta 帮派在其泄密网站上点名了 100 多个组织。考虑到该组织可能与臭名昭著的俄罗斯网络犯罪组织 FIN7有关，因此该组织的成功并不令人意外。

原文始发于微信公众号（祺印说信安）：爱尔兰监管机构就数据泄露对Meta处2.65亿欧元的罚款