合规资讯

韩国个人信息保护委员会（PIPC）于8月27日在首尔市立大学模拟法庭举办"第4届个人信息保护模拟审判竞赛"，主题为"人工智能时代的个人信息保护与利用"。本届竞赛共54支队伍报名（法学专业研究生院组24支、大学（研究生）组30支），经预选后每组4支共8支进入决赛。参赛队伍在赛前接受三星电子、LG电子、Kakao、Viva Republica（Toss）、现代汽车等企业AI专家，以及金&张、世宗、太平洋、广场、和友等大型律所律师的辅导。竞赛议题涵盖：代理式（Agentic）人工智能自主处理中的责任归属、人工智能推断生成的虚假敏感信息是否构成个人信息、服务改进过程中的个人信息境外移转等前沿争议。法学专业研究生院组由首尔大学"개보박두"队获大奖，延世大学与釜山大学联队"로스쿨고행길"获最优秀奖；大学（研究生）组由高丽大学"정법사"队获大奖，建国大学、汉阳大学、成均馆大学联队"LAVA"获最优秀奖。PIPC委员长송경희表示，社会正经历从生成式AI向代理式AI、物理AI演进的巨大技术转换期，对个人信息安全利用的社会要求将进一步增强。

韩国个人信息保护委员会（PIPC）宣布，为人工智能技术开发新设个人信息利用特例的《个人信息保护法》修订案于8月20日经国会全体会议（本会议）通过。修订案在既有个人信息处理依据之外另设通道：当仅凭假名或匿名信息难以完成AI开发，且公益、社会性必要性获得认可时，以强化安全措施为前提，经PIPC审议议决，可将合法收集的个人信息用于AI技术开发。配套安全装置包括：处理敏感信息或固有识别信息等高风险情形须事前风险评估并制定改善方案；利用特例的企业机构须经个人信息处理方针公开主要内容；PIPC须在官网公开AI特例运营现状；对已审议通过的实质相同或类似AI技术服务简化审议程序。修订案整合민병덕议员案（2025.1.31.）与고동진议员案（2025.3.13.）为政务委员会替代案，经法制司法委员会审查后议决，将经国务会议议决公布，自公布后满6个月施行。此前PIPC在《公共部门AI转型（AX）隐私保护指南》中提出推进"AI特例"修法，本次通过即为其立法落地。

9月1日披露的研究显示，Aurora勒索软件的一名附属成员使用Cursor AI编码智能体对10家机构实施动手式入侵，覆盖比利时、德国、苏格兰、阿根廷、意大利等地。攻击者仅通过告知智能体“这是经授权的渗透测试”即绕过安全对齐，令其协助执行NTLM中继攻击与基于证书的Certipy攻击。

8月31日披露的威胁情报显示，商用钓鱼即服务套件Mirage2FA自2024年起滥用合法的Microsoft 365登录流程，通过中间人代理转发用户名、密码与实时验证码并劫持会话Cookie。已有60多国约4500家组织被盯上，约48%已识别邮箱可能遭入侵。

8月30日，化名myth1414的威胁行为者在暗网论坛泄露据称取自美国物业管理公司Cambridge Management的32GB数据库，内容包含私人客户文件、工资与预算信息、税务记录及个人身份证件。此前8月Play勒索组织已宣称攻击同一机构，本次披露疑为双重勒索外流数据。截至报道时企业尚未公开确认。

8月28日消息，服务俄亥俄州超50万名患者的医生所有制初级保健集团COPCP遭Chaos勒索组织攻击。据暗网监测博客HookPhish与站点Breachsense披露，攻击约发生在8月25日，被窃数据量估计在263GB至362GB之间，涉及患者与员工信息，律所已启动集体诉讼调查。

8月31日，在加拿大七个省及百慕大运营的电信运营商Eastlink向客户通报潜在数据泄露，涉及约7.5万个互联网、电视与固话账户。公司称账户可能在周三深夜至周四凌晨之间被入侵，外泄信息可能包括姓名、联系方式、账号与PIN码，但不认为涉及信用卡或银行信息。上期通报后已关闭网站与移动应用的受影响平台。

柏林州政府8月31日正式确认，Rhysida勒索组织窃取约144万份政府文件，含供水系统漏洞评估、明文凭据及12076名居民个人记录，赎金30比特币（约230万美元）被拒。取证显示数据8月7日开始外泄，涉事两部门直到8月14日才被切断与州政府中央网络的连接。

8月31日，韩国PIPC通报对零售巨头GS Retail处以128.36亿韩元（约930万美元）罚款。黑客自2024年起对GS Shop与GS25实施撞库攻击，窃取约166万用户个人信息。PIPC认定企业未部署异常登录检测、缺专门隐私保护组织，且首次通报后新增1599名受影响者未在72小时内通知。

近日，盐城市首个公共数据授权运营产品在盐城市数据资产运营服务中心完成交易。该项目以滨海县医疗机构药品使用数据为基础，经归集治理、脱敏加工和产品开发形成可流通数据产品，实现公共数据资源开发利用与市场化运营有效衔接，标志盐城市公共数据授权运营取得实质性突破。