合规资讯

韩国首尔西江大学8月15日通报，该校统一登录账户信息遭不明外部攻击，约18万名在读学生、校友及教职工的个人信息泄露，包括学（工）号、姓名、院系、邮箱、手机号和加密密码。校方已封锁攻击IP、限制服务访问并实施网络分离，同时向韩国个人信息保护委员会（PIPC）和教育部报告，呼吁相关人员立即修改密码并警惕钓鱼。

波兰副总理兼数字化部长加夫科夫斯基8月12日通报，该国最大电子医疗档案公司之一MyDr遭网络攻击，近1900万名公民的医疗数据被窃取，规模超2TB，涉及用药及处方信息。这是波兰信息领域前所未有的重大安全事件，数据已被转移至安全数据库，官方正追查涉案人员，并建议民众限制国民识别号（PESEL）的使用。

法国新的电话营销监管法于2026年8月11日正式生效，从'退出制'（Bloctel登记豁免）转向强制'事先同意制'（opt-in）：未经消费者事先同意，企业不得拨打营销电话，个人违规每通最高罚7.5万欧元，企业每通最高罚37.5万欧元，同意可随时撤回。与此同时，政府反电话营销登记平台Bloctel被曝遭黑客攻击，约300万个电话号码泄露——攻击者利用缺乏多因素认证的账户访问企业联系人名单服务，明文号码在网络犯罪论坛免费传播，恰逢平台8月11日关停，讽刺意味浓厚。

美国卫生与公众服务部民权办公室（HHS OCR）8月6日将俄亥俄州收入周期管理软件商Unlimited Technology Systems（UTS）数据泄露列入泄露门户，受影响人数380.375万，为2026年迄今美国最大医疗相关泄露。事件发生于2025年10月5-10日，其商业数据中心遭未授权访问，泄露数据含保险单号、索赔与福利信息、社保号、病历号、诊断、驾照与身份证扫描件等。UTS服务于4500多家肿瘤诊所和6500多家专科诊所，供应商链条式风险凸显，发现到通报间隔约9个月引发HIPAA合规质疑。

泰国数字经济与社会部8月10日披露，全球累积泄露的登录信息中与泰国相关的超过2.21亿条（含重复记录），涉及约3万个政府系统和3.5万个私营系统。部长猜亚纳表示事件并非直接黑客攻击，而是凭证泄露（Credential Leak）——旧密码在暗网交易后经API等正常渠道被利用。政府8月11日向内阁提交网络安全措施，强制在政府系统启用多因素认证（MFA）并强制重置密码，计划15天内完成系统清洗并关闭不必要的系统，同时将网络安全纳入部门KPI考核。

威胁情报公司CloudSEK于8月11日发布研究报告，将2026年3月发生的LiteLLM开源AI网关供应链攻击与2500余家机构、约43.4万条CI/CD流水线暴露关联。攻击者先投毒广泛使用的Trivy漏洞扫描器，借LiteLLM构建流水线未固定版本之机，在PyPI发布两个后门版本（1.82.7/1.82.8）约40分钟，窃取云凭证、SSH密钥、Kubernetes令牌、AI提供商API密钥等。英伟达、AWS、三星、思科等25+企业被点名，FBI 7月2日发布FLASH警告称被盗凭证仍可能被利用，153GB泄露数据尚未大范围传播。

7月29日，美国联邦贸易委员会（FTC）联合犹他州与加州（洛杉矶县）在北加州联邦法院起诉远程医疗平台Hims & Hers，指控其在未充分披露或取得同意的情况下，将消费者敏感的疾病健康信息通过客户名单与追踪像素共享给Meta、Snap等广告平台，与其'私密谨慎'的宣传相悖；同时被指存在订阅计费欺诈与隐蔽取消机制。诉讼援引FTC法案第5条、ROSCA及州消费者保护法，是FTC健康数据执法首次以对抗性联邦诉讼而非和解方式展开，被业界视为扩大'交易实质条款'范围的重要信号。

英国信息专员办公室（ICO）对伦敦警察厅（MPS）发出执行通知和训诫，因其在两起高度敏感案件中出现个人信息错误披露：一名警员在跟踪保护令案中向被告送达未脱敏文件，泄露受害人新住址、电话及三名证人信息；另一起"蜜罐"调查中群发邮件将18名涉事人员姓名和邮箱相互公开。ICO发现MPS数据保护培训合规率低下，部分警员超四年未完成培训。

韩国个人信息保护委员会（PIPC）对电信运营商KT处以539.79亿韩元（约3900万美元/2.5亿元人民币）行政罚款，因其发生重大数据泄露事件，16647名用户的电话号码和移动设备识别号码遭泄露并被用于未授权交易，造成368名受害者损失。黑客利用KT遗失基站中提取的认证证书搭建非法基站入侵网络长达11个月未被发现。

英国交通警察于8月11日在伦敦维多利亚地铁站首次部署实时面部识别（LFR）摄像头，将试验从主干线铁路站扩展至伦敦地铁，试验将持续至11月并在地铁与国铁站点间轮换。系统将站内人脸与警方通缉名单比对，此前17次部署扫描53.7万张人脸仅产生1次误报、无确认匹配。隐私组织批评其为"令人不安的反乌托邦式扩张"。