安全资讯汇总：2026.6.22-2026.6.26

江南信安

2026年6月26日 16:00
北京

在小说阅读器读本章

去阅读

点击蓝字 关注江南信安

安全专栏

2026/6/22-2026/6/26

江南信安网络安全汇总专栏，每周为您提供网络安全领域「标准规范、安全热点、行业发展、深度好文、融资信息」等最新资讯的追踪与共享。

标准规范

1、三部门发布《网络数据安全风险评估办法》，明确数据评估全流程合规要求

6 月 18 日，国家网信办、工信部、公安部联合发布《网络数据安全风险评估办法》，官方同步发布答记者问，明确境内网络数据安全风险评估全维度管理规则。

新规落实《数据安全法》《网络数据安全管理条例》及 “十五五” 规划数据分级分级管理要求，划定适用主体与评估频次：重要数据处理者须每年开展风险评估，数据安全状态重大变动时需追加专项评估；一般数据处理者建议每 3 年评估一次。

企业可自主评估或委托第三方机构，自行评估需专人负责，委托服务需签订权责清晰的法律文件。评估可参照 GB/T 45577-2025、GB/T 45389-2025 两项国标执行，行业另有规范的从其规定。

文件强化第三方机构约束：机构评估结果需真实完整，禁止转委托；同一机构及关联方不得连续 3 次为同一企业做年度评估，接触业务数据需严格保密，发现重大风险第一时间告知企业。

为杜绝重复检查，各主管部门每年 1 月底前报送评估检查计划，由网信部门统筹协调；同一风险事件不得重复委托第三方评估。

监管覆盖事前、事中、事后全链条：主管部门常态化行业排查，省级以上部门核验重要数据企业评估报告，存在安全隐患可责令整改、暂停数据处理；违规企业与第三方机构将依法处置，同时开放社会投诉举报渠道协同防控数据安全风险。

原文链接：

《网络数据安全风险评估办法》答记者问

安全热点

1、日本电信供应链安全事故：KDDI 邮件平台被攻陷，千万级用户账号密码存在泄露风险

2026 年 6 月 23 日，日本电信运营商 KDDI 发布公告，确认旗下为多家 ISP 配套服务的邮件系统遭遇未授权访问，漏洞攻击造成 1422 万条用户邮箱地址与密码存在泄露风险，波及 6 家合作互联网服务商。

本次泄露覆盖 STNet、KDDI Web Communications、JCOM、Chubu Telecommunications、Nifty Corporation、Biglobe 六大服务商，涉 Pikara 系列、CPI 租赁服务器、J:COM NET、COMINA Hikari、@nifty、BIGLOBE 等多款主流邮箱业务，已注销、长期闲置的历史账户数据同样存在外泄可能。

KDDI 于 6 月 17 日监测到入侵行为，经排查确认攻击者利用邮件系统搭载的第三方软件漏洞实施非法入侵。企业第一时间修复系统阻断持续渗透，并在风险节点部署全套技术防护措施，同步向日本个人信息保护委员会、总务省报备事件，联合所有涉事 ISP 同步推进应急处置。

针对安全风险，KDDI 强烈建议所有使用上述邮箱服务的用户立即修改账户密码，防范账号被盗、钓鱼欺诈等次生安全威胁。本次事件凸显电信行业共享邮件系统供应链安全短板，第三方组件漏洞已成为大规模用户数据泄露的高危诱因。

原文链接：

https://www.infosecurity-magazine.com/news/kddi-breach-japanese-telcos/

2、超六成 iOS 大模型应用泄露 LLM API 凭据，密钥硬编码与流量明文传输成重灾区****

2026 年 06 月 22 日安全媒体 Help Net Security 发布研究报告，针对集成大语言模型（LLM）的 iOS 应用开展专项安全分析，揭露行业普遍存在 API 凭据泄露问题。

研究团队自研检测工具 LLMKeyLens，筛选 App Store 上万款应用后，选取 444 款搭载 LLM 能力的 iOS 程序测试，总计 282 款存在可被滥用的凭据泄露隐患，占比 64%，覆盖 OpenAI、Gemini 等十余家大模型厂商。漏洞分为三类：JWT 身份令牌泄露占 48%、无鉴权后端代理占 33%、明文 API 密钥传输占 19%。

攻击者可通过解包 IPA、流量抓包提取密钥，盗用接口产生高额计费，还能调取用户交互敏感数据。研究团队完成漏洞披露三个月后复测，仅 28% 应用完成修复，72% 仍存在可利用漏洞，根源多为后端鉴权逻辑失效、令牌校验机制破损。涉事应用覆盖办公、教育、健康等 13 类场景，多款百万评价热门应用中招。开发者常将密钥硬编码写入程序二进制文件，仅靠代码混淆无法抵御逆向提取。

安全人员建议企业采用中转后端代理 LLM 请求，密钥统一存放服务端；客户端禁用明文传输凭据，部署证书锁定拦截流量抓包；上线前通过二进制审计、流量检测排查密钥泄露，规避资产损耗与用户信息泄露风险。

原文链接：

https://www.helpnetsecurity.com/2026/06/22/llm-api-credential-leakage-ios-apps/

3、印度代工巨头超630GB数据泄露：涉特斯拉、苹果，后者已启动调查

印度科技代工巨头塔塔电子（Tata Electronics）周一表示，公司近期发现了一起 “网络安全事件”。此前，研究人员称，勒索软件组织World Leaks发布了据称属于苹果和特斯拉的组件设计及规格文件，而这两家公司均为塔塔电子的客户。

安全研究人员告诉路透社，勒索软件组织已在暗网上发布超过20万个文件。塔塔电子在一份提交给路透社的声明中表示：“几周前，塔塔电子发现部分系统发生了一起网络安全事件。我们的响应协议已立即启动。该事件并未影响我们各业务领域的运营，目前各项业务均未受到影响。”

一名熟悉此事的消息人士表示，苹果正在调查此次入侵事件，并且“正在进行全面分析”。该人士还补充称，塔塔已收到与该事件相关的赎金要求。苹果未回应置评请求。塔塔电子拒绝就赎金要求发表评论。

去年，塔塔集团旗下英国捷豹路虎集团遭遇网络攻击，导致生产停滞6周。印度计算机应急响应小组（印度信息技术部下属、负责监督网络事件的机构）未立即回复路透社寻求置评的邮件。

原文链接：

印度代工巨头超630GB数据泄露：涉特斯拉、苹果，后者已启动调查

行业动态

1、三部门印发首批网络安全标识产品目录，网联摄像头分三星级安全认证****

2026 年 6 月 18 日，国家网信办、工信部、公安部联合印发《实施网络安全标识的产品目录（第一批）》及配套实施规则，同步发布标准实践指南 TC260-PG-20265A，首批适用产品为消费类网联摄像头，公共安防摄像头不在适用范围。

该标识实行自愿申领，蓝色标识有效期 3 年，标注厂商、型号、安全等级、备案码等信息，扫码可核验检测报告。安全能力划分为基础级（一星）、增强级（二星）、领先级（三星），需通过硬件、数据、通信等全维度检测达标对应等级。

检测区分要求：一星、二星可使用自有 CNAS 实验室或第三方机构；三星产品必须额外由第三方完成渗透测试。产品按芯片、固件、通信模组等要素划分检测单元，抽检比例为单元型号总数 10% 向上取整。

厂商向中国电子技术标准化研究院提交材料备案，机构 10 个工作日完成形式审查。芯片、固件等关键参数变更或标识到期，需重新检测备案。

文件明确违规处置机制：伪造材料、冒用标识将撤销备案，一年内不予受理企业新备案；检测机构出具虚假报告，一年内检测结果不予采信。相关违规行为可通过备案平台www.cncsl.cn或电话（010）64102777 举报，涉事主体将依据《网络安全法》予以处罚。标识可粘贴于设备、包装、线上商品页面，图案样式不得随意修改。

原文链接：

关于印发《实施网络安全标识的产品目录（第一批）》及相关实施规则的通知

2、工信部等五部门部署开展工业5G独立专网试点****

工业和信息化部、交通运输部、国务院国资委、国家能源局、国家国防科工局等五部门近日联合印发通知，部署开展工业5G独立专网试点。工业5G独立专网是指由工业企业主导建设接入网、核心网等关键设施，可不依赖于公网独立运行的企业专属5G网络。试点支持原材料、装备制造、消费品、电子信息、国防科技、能源交通等行业领域的大型特大型企业建设独立专网，鼓励“5G+工业互联网”融合应用城市试点率先开展独立专网建设工作。通过试点探索独立专网“建、用、维、管”新模式，满足企业特定需求，培育壮大独立专网产业链生态，助力“5G+工业互联网”赋能千行百业。试点内容包括部署基础设施、创新应用场景、建设管理平台、探索建设模式、做好安全保障等五个方面。

明确提出落实网络和数据安全责任，加强独立专网安全基础设施建设，推动零信任、内生安全、商用密码等创新应用，提升端到端安全保障水平。加强网络和数据安全能力建设，建立健全覆盖终端接入、组网、边缘计算、数据、运维管理等的安全技术和管理措施。

原文链接：

推动商用密码创新应用丨工信部等五部门部署开展工业5G独立专网试点

3、**特朗普发布两项量子行政令：抗量子密码迁移进入倒计时，产业界欢迎与疑虑并存****

6月22日，美国总统特朗普签署两项与量子技术和密码安全相关的行政令，分别是《保护国家免受高级密码攻击》（Securing the Nation Against Advanced Cryptographic Attacks）和《开启量子创新的下一前沿》（Ushering in the Next Frontier of Quantum Innovation）。前者以联邦信息系统抗量子密码（PQC，Post-Quantum Cryptography）迁移为核心，后者以量子信息科学与技术（QIST，Quantum Information Science and Technology）的部署和商业化为重点。两项命令共同表明，美国正把“防御量子破译”和“发展量子能力”放入同一套国家科技安全框架之中。

原文链接：

特朗普发布两项量子行政令：抗量子密码迁移进入倒计时，产业界欢迎与疑虑并存

深度好文

1、NIST 抗量子密码已发布3项正式 FIPS 标准，还有2项在路上

自 2024 年 NIST 首批抗量子密码（PQC）联邦标准落地以来，全球产业界的抗量子迁移进程持续加速。但在实际落地中，很多商密从业者对一个基础问题仍存在认知偏差：NIST 到底已经发布了多少项 PQC 正式 FIPS 标准？哪些是可直接商用的正式标准，哪些还在草案阶段？

本文基于 NIST 官方公开信息与标准化进度，对 PQC 标准体系做完整、严谨的梳理，明确边界、厘清定位，为行业从业者提供准确的选型参考。

原文链接：

PQC算法｜NIST 抗量子密码已发布3项正式 FIPS 标准，还有2项在路上

2、人工智能供应链安全风险分析与防护体系构建

当前，我国人工智能产业已然步入规模化发展的全新阶段。中国政府网公开数据显示，截至2025年7月，国内人工智能大模型的数量已经突破1500个，广泛地覆盖了政务、金融、医疗等诸多关键领域；2025年8月，国务院印发的《关于深入实施“人工智能+”行动的意见》将“人工智能+安全”列为重点任务，在推动技术创新与产业融合之际，要构建起坚实的安全防护屏障。人工智能的安全保障范畴已不再局限于算法模型自身，而是延伸到了支撑其运行的全链条基础设施供应链——从底层的硬件芯片、算力框架，到中间层的数据服务、工具组件，再到上层的应用集成，供应链各个环节的安全漏洞都有可能引发系统性风险，甚至对关键信息基础设施安全与公共利益构成威胁。然而，目前人工智能供应链安全防护问题依然严峻，全球人工智能基础设施供应链呈现出“全球化采购+本地化部署”的复杂格局，现有的安全检测工具大多缺少对“硬件层—软件层—服务层”全链条的覆盖能力。对此，研发针对人工智能基础设施供应链的一体化安全检测体系，成为破解“重发展、轻防护”困境的关键。

原文链接：

前沿 | 人工智能供应链安全风险分析与防护体系构建

END

点点赞

点分享

点喜欢