罰單密集落地，銀行安全治理再受監管高壓； AI創作版權歸屬問題引關注：創作者與AI的邊界如何界定？| 牛覽

新聞速覽

• 罰單密集落地，銀行安全治理再受監管高壓

• 使館外籍人員偽裝戀愛接近我工作人員，國家安全機關及時斬斷竊密黑手

• 俄港口巨頭遭萬級IP DDoS攻擊，物流樞紐安然無恙？

• 《華盛頓郵報》數據泄露事件曝光：零日攻擊鏈揭示供應鏈安全隱患

• AI創作版權歸屬問題引關注：創作者與AI的邊界如何界定？

• 零日漏洞再釀禍，羅技（Logitech）數據外泄敲響供應鏈安全警鐘

• 自主決策AI引安全警報，全球技術貿易協會呼吁構建新型治理框架

• OWASP發布MCP服務器安全實用指南：為AI工具鏈加上一道“安全閘”

• 僅因一次釣魚得手，外賣平臺DoorDash用戶聯系方式全泄露

• 偽裝醫保+冒充中國警方，新型跨境詐騙盯上在美華人

特別關注

罰單密集落地，銀行安全治理再受監管高壓

近期，多地人民銀行分支機構連續公布針對銀行機構的網絡安全與數據安全行政處罰，涉及國有銀行、股份制銀行、城商行、農商行及多家村鎮銀行，暴露行業在信用信息管理、數據保護與網絡安全合規方面的共性短板。

統計顯示，江西銀行蘇州分行因違反網絡安全、數據安全及信用信息管理等規定，被警告并罰款67.2萬元；無錫濱湖興福村鎮銀行因7項違法行為被罰31.06萬元；寧夏寧東本富村鎮銀行因違反網絡與數據安全規定被警告。多家銀行的背后控股股東為城商行或農商行，體現風險在集團體系內的延展性。

9月以來，多起高額罰單集中指向數據安全管理不到位。包括民生銀行廈門分行被罰147.96萬元、浙江海鹽農商銀行被罰158.3萬元、建設銀行懷化分行與湖南溆浦農商銀行因未制定網絡安全事件應急預案等被處罰。寧波甬城農商銀行因多項違規被罰262.05萬元，為近期金額最高。

監管持續強調金融機構必須完善應急預案、強化信用信息保護、落實數據安全與網絡安全管理要求。業內人士提醒，隨著監管趨嚴，銀行需加速補齊安全合規能力，避免重復性違規。

https://mp.weixin.qq.com/s/iZMNS_-KrUmwdFAkPDPDcw

熱點觀察

AI創作版權歸屬問題引關注：創作者與AI的邊界如何界定？

在人工智能快速發展的背景下，關于AI創作內容的版權歸屬、創作者責任和道德問題成為焦點。在紐約舉辦的第二屆AI Deciphered大會上，業內專家探討了AI如何影響創意產業、法律框架和營銷策略。與會者包括Empwrd的AI集成總監Kanene Holder、Klaris Law創始合伙人Edward Klaris和Def Jam Recordings的市場高級副總裁Dr. Charlene Thomas。

Klaris指出，在美國版權法下，單純通過AI生成的內容不能算作創作，因此創作者無法主張對AI生成內容的所有權。他強調，AI應基于已有創作進行生成，才能更清晰地界定創作歸屬。不同國家對此的規定各異，日本則為AI創作內容提供版權保護。

除了版權問題，如何保證AI促進而非削弱人類創意的潛力也成為討論重點。Holder強調，AI在創作中可能帶有偏見，企業和創作者需要在設計和使用AI時保持人類的監督，確保AI的應用符合道德標準，避免產生負面影響。

Thomas提到，AI在娛樂行業的應用尤為復雜，消費者質疑AI作品的真實性，因此保持人類創作的獨特性仍然至關重要。專家們一致認為，人類與AI應當是協作關系，而非競爭關系。

https://www.campaignlive.com/article/owns-ai-output-legal-ethical-questions-brands-cant-ignore/1939885

安全事件

俄港口巨頭遭萬級IP DDoS攻擊，物流樞紐安然無恙？

俄羅斯港口運營商Port Alliance披露，其關鍵數字基礎設施已連續第三日遭受源自境外的網絡攻擊，主要表現為大規模分布式拒絕服務（DDoS）攻擊，并伴隨網絡入侵嘗試。公司指出，攻擊者意圖“破壞運營、干擾業務流程”，目標直指其在波羅的海、亞速–黑海、遠東及北極地區承擔煤炭與礦物肥料出口的關鍵鏈條。

盡管攻擊強度高企，Port Alliance強調其港口與碼頭系統仍維持正常運轉，核心業務未受實質影響。據稱，攻擊者動用了一個由逾15,000個全球分布IP地址組成的僵尸網絡（botnet），并持續變換戰術以規避安全防御機制。

Port Alliance目前在六大航運要道運營海運碼頭，年貨物吞吐量逾5,000萬噸。該公司未將此次事件歸因于任何特定黑客組織。

自2022年俄烏沖突爆發以來，交通與物流基礎設施成為網絡攻擊的高頻目標，雙方黑客頻繁利用DDoS手段癱瘓對方關鍵設施。同日，烏克蘭WOG加油站連鎖遭遇大規模網絡攻擊，致使其線上服務短暫中斷；本周，丹麥政府及多家國防企業網站亦遭DDoS襲擊，初步研判或與親俄組織NoName057有關。

https://therecord.media/cyberattack-on-russian-port-operator

《華盛頓郵報》數據泄露事件曝光：零日攻擊鏈揭示供應鏈安全隱患

《華盛頓郵報》近日確認遭遇一起針對OracleE-Business Suite(EBS)零日漏洞的網絡攻擊，約9,720名現任與前任員工、合同工的個人信息被泄露。攻擊者疑與Cl0p勒索團伙相關，背后可能是被追蹤為FIN11的攻擊集群。該團伙今年7月至8月期間利用OracleEBS零日漏洞，針對數十家機構發起入侵，并在受害者拒絕支付贖金后將數據公布于Cl0p泄露網站。

根據提交給緬因州司法部長辦公室的報告，被竊取的數據包括姓名、銀行賬號及路由號、社會安全號與稅號等敏感信息。《華盛頓郵報》稱其于9月29日收到攻擊者的勒索聯系，調查顯示攻擊最早可追溯至7月10日。這也印證了外界此前關于OracleEBS漏洞利用在補丁發布前數月即已開始的判斷。

目前已在Cl0p泄露網站上確認受影響的機構還包括Hitachi旗下GlobalLogic、Harvard University以及American Airlines的子公司Envoy Air。其他大型企業因調查未完成或試圖保持低調，尚未公開事件影響范圍。

https://www.securityweek.com/washington-post-says-nearly-10000-employees-impacted-by-oracle-hack/

零日漏洞再釀禍，羅技（Logitech）數據外泄敲響供應鏈安全警鐘

羅技于2025年11月14日披露一起由第三方軟件零日漏洞引發的網絡入侵事件。該漏洞存在于Oracle E-Business Suite中，被Clop團伙自7月起利用，通過多階段Java植入實現未授權訪問與數據外泄。被復制的數據涉及部分員工、消費者、客戶與供應商的非敏感信息，但未包含身份證號、付款數據等要素，且公司運營未受影響。

Oracle已于10月4日發布了緊急補丁，羅技在獲悉后迅速完成修復，并聘請外部安全機構開展調查與溯源。此次事件凸顯供應鏈安全短板，以及零日攻擊在企業軟件生態中的擴散趨勢。專家警示，盡管泄露數據有限，但仍可能被用于定向釣魚等二次攻擊。

業內指出，Clop正從傳統加密型勒索轉向“數據竊取+勒索”模式，相關手法與微軟等近期零日事件呈現相似攻擊鏈。羅技已向監管機構報備并啟動通知程序，強調事件已得到控制。該事件再次提醒企業需強化零信任架構、提高補丁響應速度，并加強第三方風險管理。

https://www.webpronews.com/logitechs-zero-day-breach-how-a-hidden-flaw-exposed-tech-giants-data/

使館外籍人員偽裝戀愛接近我工作人員，國家安全機關及時斬斷竊密黑手

近日，國家安全機關破獲一起境外間諜情報機關利用情感滲透手段實施的竊密案件。某機關單位工作人員小寧在公務活動中結識某使館外籍工作人員，對方針對其情感需求構建“完美男友”人設，逐步獲取信任。交往期間，該外籍人員以關心工作為名，誘使小寧泄露敏感工作內容，甚至要求其刻意收集國家秘密及內部文件作為“感情籌碼”。經查，該外籍人員實為境外間諜，已娶妻生子。國家安全機關及時介入，消除了重大泄密隱患。案件警示境外“感情拉攏”類間諜行為高發，黨政機關等重點領域人員需增強反間防諜意識，筑牢國家安全防線。

https://mp.weixin.qq.com/s/g4yPlDvl7xf_mUe97nikVA

僅因一次釣魚得手，外賣平臺DoorDash用戶聯系方式全泄露

DoorDash再次發生數據泄露，涉及用戶、配送員和商家敏感信息。2025年10月25日，DoorDash的內部安全團隊發現數據泄露事件，初步調查顯示，攻擊者通過社交工程手段欺騙公司員工，獲得了對系統的訪問權限。泄露的數據包括用戶的全名、住址、電子郵件和電話號碼，受影響地區包括美國、加拿大、澳大利亞和新西蘭。DoorDash確認，泄露的內容不包括信用卡號、社會保障號或駕照信息，但此聲明遭到批評。專家指出，即便是姓名、電話和地址，也足以讓攻擊者發起具有欺騙性的網絡釣魚攻擊。

此外，雖然事件發生后，DoorDash在10月25日已發現泄露，但直到11月13日才開始向受影響的用戶發出通知。通知延遲引發用戶不滿，部分人質疑公司是否遵守了數據泄露法規，并威脅采取法律行動。對此，DoorDash表示正在加強安全防護，提升員工的網絡安全培訓，并聘請第三方網絡安全公司進行進一步調查，案件已移交執法部門處理。這是自2019年以來，該公司遭遇的第三次重大安全事件。

https://hackread.com/doordash-data-breach-employee-social-engineering-scam/

偽裝醫保+冒充中國警方，新型跨境詐騙盯上在美華人

美國聯邦調查局（FBI）近日發布警告，指出一種針對在美華語人群的金融欺詐新型騙局。犯罪分子偽裝成美國健康保險公司和中國執法部門，通過偽造的電話欺詐受害者。受害者會接到來自偽裝成合法健康保險公司理賠部門的電話，電話內容使用中文，詢問受害者關于近期手術的保險理賠情況。隨后，犯罪分子通過視頻軟件展示虛假的賬單，并要求受害者支付費用。

如果受害者表示未提交過理賠或未進行相關手術，犯罪分子則會將受害者轉接給假冒的中國執法人員，進一步施壓。FBI提醒，受害者應提高警惕，避免因虛假信息上當受騙。

https://www.cybersecurity-review.com/criminals-impersonate-us-health-insurance-providers-target-chinese-speakers-residing-in-the-united-states/

產業動態

自主決策AI引安全警報，全球技術貿易協會呼吁構建新型治理框架

全球技術貿易協會Information Technology Industry Council（ITI）于2025年11月發布題為《Understanding Agentic AI》的政策白皮書，提出“agentic AI”——即具備多步推理、規劃能力并可自主調用工具執行任務的人工智能系統——正逐步邁入實際應用階段，但其發展伴隨顯著的安全隱患與治理挑戰。

報告指出，此類系統雖有望顯著提升生產效率與網絡安全響應能力，卻存在“jagged intelligence”（鋸齒智能）現象：模型在復雜任務中表現卓越，卻可能在基礎操作上意外失效，從而在自動化流程中引發級聯故障。

此外，agentic AI易受prompt injection（提示注入）、數據投毒及未授權工具訪問等攻擊；其自主決策特性亦帶來責任歸屬模糊與“自動化偏差”（automation bias）等新型風險。

為應對上述挑戰，ITI建議采取“基于風險、場景適配”的監管路徑，將現有框架（如National Institute of Standards and Technology的AI Risk Management Framework）拓展至agentic系統。具體政策建議包括：制定國家級AI發展戰略、強化全鏈條透明度、完善數據治理與隱私保護機制、推動行業主導的開放標準與安全協議，以及加強跨部門協作與專業人才儲備。

報告強調，隨著agentic AI在政府、制造、網絡安全等關鍵領域的加速部署，若治理結構滯后，恐將削弱公眾信任并放大系統性風險。業界與政府亟需開展深度對話，共同構建可控、透明且可信的應用生態。

https://www.executivegov.com/articles/iti-agentic-ai-risks-policy-recommendations

合作電話：18311333376

合作微信：aqniu001