以下是本周回顾：

ZipLine活动瞄准美国制造公司

据Checkpoint报道，美国制造企业已成为一项名为ZipLine的复杂攻击活动的攻击目标。该活动利用看似合法的商业互动来传播名为MixShell的定制恶意软件。攻击者以合法公司的名义设置虚假域名，并在传播恶意软件之前与受害者进行了数周的电子邮件交流。

五角大楼下令审计微软雇佣的中国籍工程师提交的代码

微软曾使用中国籍工程师维护美国国防部系统的消息曝光后——这些外国工程师一直受到拥有必要安全许可的所谓“数字护卫”的监督——微软这家科技巨头宣布做出一些调整，由于担心潜在的敏感数据泄露，将不再使用驻华团队为五角大楼提供技术援助。美国国防部也宣布，微软涉及中国籍程序员的项目已经终止，美国政府已要求对中国公民的代码进行审计。

CISA发布新工具

CISA宣布推出一款新工具，旨在帮助组织评估软件采购流程中的保障和供应商风险。该在线资源名为“软件采购指南：供应商响应网络工具”，免费提供。用户需提供所采购软件的相关信息，包括治理和认证、软件供应链、安全开发和部署以及漏洞管理实践。

Vital Imaging数据泄露事件已造成26万名用户死亡

诊断影像中心Vital Imaging最近披露了一起数据泄露事件，影响了约26万人的个人及健康信息。此次入侵事件于2月份被发现，目前调查仍在进行中，旨在确定受影响的具体人员以及哪些类型的数据遭到泄露。

巴尔的摩市向诈骗者支付了150万美元

巴尔的摩市透露，该市被骗两次向一名骗子支付了总计约150万美元的款项。该市监察长办公室的一份报告显示，骗子成功访问了一个Workday账户，并将一个供应商的银行账户更改为攻击者控制的账户。这150万美元中，超过72万美元已被市政府追回，但其余款项仍未从骗子的银行账户中追回。

澳航高管因数据泄露而损失薪酬

由于公司近期遭遇网络安全事件，澳大利亚航空公司澳航（Qantas）首席执行官及多名高管的薪酬总额被扣除80万澳元（约合55万美元）。澳航7月份表示，超过500万客户受到数据泄露的影响，据信此次数据泄露是由Scattered Spider黑客攻击造成的。澳航首席执行官瓦妮莎·哈德森（Vanessa Hudson）损失了25万澳元，五名高管则损失了55万澳元。

谷歌被法国国家信息和自由委员会罚款3.25亿欧元

2025年9月1日，法国数据保护机构（CNIL）对谷歌处以3.25亿欧元（3.8亿美元）的罚款，原因是“谷歌未经Gmail用户同意，在其邮箱之间显示广告，并在未经法国用户有效同意的情况下，在创建谷歌账户时放置cookies”，违反了《通用数据保护条例》（GDPR）和欧盟《电子隐私指令》。Max Schrems的NOYB组织于2022年8月24日对此提起了诉讼。

谷歌回应Gmail安全声明

针对有关其向Gmail用户发出重大安全问题警告的报道，谷歌回应称，该说法不实。该公司表示，其保护措施成功阻止了绝大多数针对Gmail用户的网络钓鱼和恶意软件传播尝试。

普利司通遭遇网络攻击

轮胎巨头普利司通美洲公司遭遇网络攻击，部分制造工厂受到影响。该公司的调查仍在进行中，但尚未发现任何客户数据被泄露的证据。普利司通此前也曾遭受勒索软件攻击，但目前似乎尚无任何已知威胁组织承认对此次事件负责。

诈骗者滥用Grok

X的人工智能聊天机器人Grok被骗子滥用，用来引诱用户访问他们的网站。Guardio的Nati Tal报告称，骗子通过在帖子的“发件人”字段中添加链接，绕过了X对推广帖子链接的禁令。骗子随后回复帖子，询问Grok“这段视频出自哪里？”，结果聊天机器人回复了一个可点击的链接，指向网络犯罪分子的网站。

谷歌被CNIL罚款3.25亿欧元

2025年9月1日，CNIL对谷歌处以3.25亿欧元的罚款，原因是谷歌在未经Gmail用户同意的情况下在其电子邮件之间显示广告，并且在未经法国用户有效同意的情况下在创建谷歌账户时放置cookie。

背景

继2022年8月24日“None Of Your Business”（NOYB）组织提出投诉后，CNIL在2022年至2023年期间对Gmail消息服务和创建Google账户的过程进行了多次检查。

调查显示，GOOGLE IRELAND LIMITED和GOOGLE LLC在Gmail消息服务的“促销”和“社交”标签页中以电子邮件形式展示广告。法国国家信息和自由委员会（CNIL）负责实施制裁的机构——限制委员会认为，根据法国邮政和电子通信法典（CPCE）第L.34-5条，展示此类广告需要获得Gmail用户的同意。

此外，限制委员会认为，在用户创建谷歌账户时，谷歌鼓励用户选择与个性化广告展示相关的cookies，而这损害了与通用广告展示相关的cookies，并且谷歌并未明确告知用户，存储用于广告目的的cookies是访问谷歌服务的条件。因此，在此情况下获得的同意无效，违反了《法国数据保护法》（第82条）。

针对这两起违规行为，限制委员会发布了公开决定，规定如下：

对GOOGLE处以两笔罚款，总额为3.25亿欧元（对GOOGLE LLC处以2亿欧元，对GOOGLE IRELAND LIMITED处以1.25亿欧元）；
该命令要求这些公司在六个月内采取措施，停止在未经事先同意的情况下在Gmail服务用户邮箱的邮件之间显示广告，并确保在用户创建谷歌账户时就放置广告cookies获得用户的有效同意。否则，每延迟一天，这些公司将被处以10万欧元的罚款。