合规资讯

美国医疗IT供应商CareCloud确认3月AWS环境遭入侵，8月18日HHS备案显示受影响患者达3,756,469人，为最初通报34.5万人的11倍。入侵于3月16日被检测（约8小时访问），公司3月27日向SEC提交8-K，但患者规模识别耗时5个月。泄露数据含姓名、社保号、政府ID、金融账户、支付卡及医疗数据，凸显医疗供应链第三方供应商风险。

安全研究者Troy Hunt验证ShinyHunters宣称的Carhartt数据泄露，确认真实受影响账户约1290万，仅为宣称规模一半。8月13日ShinyHunters在勒索谈判失败后泄露50GB数据，其中混入数百万条合成记录夸大数量，真实数据含姓名、邮箱、电话和地址，83%已在以往泄露中出现。

曼彻斯特机场集团（MAG）8月27日确认遭网络安全事件，其运营的曼彻斯特、斯坦斯特德和东米德兰三座机场的停车、休息室、Fast Track预订及机场WiFi注册数据被未授权第三方获取，涉及客户邮箱、电话、车牌号和邮编，不含银行或支付信息。事件未影响机场运营和航空安全，集团已通报相关当局并联系受影响客户，在线改签服务临时暂停。

波兰数字化部长加夫科夫斯基8月26日致信欧盟委员会，请求依据《数字服务法》对Meta处以2.5亿欧元罚款，指控其平台未能有效打击诈骗广告。波兰CERT测试的122条诈骗广告中Meta仅移除10条，86.8%举报未获处理；此前AI深度伪造视频冒充波兰总统传播诈骗投资计划。Meta回应称已移除13.7万条波兰诈骗广告。

中央网信办、工信部、公安部8月20日披露2026年个人信息保护系列专项行动阶段性成效：累计核查检测2万余款App、SDK，督促4000余款整改，通报1100余款，下架处置400余款；针对个性化广告关闭选项缺失核查1000余家企业；在重点行业摸排9万余家机构、整改隐患1.2万余个，严打信息泄露倒卖与行业'内鬼'。

自然资源部8月27日例行发布会提出，'十五五'期间将加强测绘地理信息数据要素保障，积极探索地理信息数据流通交易机制，明晰数据产权，以包容审慎态度推动地理信息数据资源向数据资产转化，并在公共服务基础上推进公共数据授权运营，支持数据增值服务、API开放等商业化探索，促进地理信息与智慧城市、低空经济、自动驾驶等数字经济领域深度融合。

8月27日，国家知识产权局与国家数据局联合印发《关于加强知识产权数据资源开发利用的意见》，将知识产权业务数据定位为国家重要公共数据资源，从夯实基础、扩大供给、深化应用三方面部署推进数据共享开放与公共数据授权运营，支持知识产权领域'跑起来'示范场景和高质量数据集建设，补齐数据要素市场化配置的知识产权板块。

新加坡警方8月18日依据《在线刑事危害法》（OCHA）发布三份行为守则，覆盖消息应用（WhatsApp、Telegram、微信等）、社交媒体（Facebook、Instagram、TikTok）与电商平台：陌生人添加群组须经用户同意，平台须警告可疑账户并验证广告主身份，多数要求2027年1月31日起生效。

香港个人资料私隐专员公署8月25日发布《代理式人工智能篇：保障个人资料私隐》指引，为代理式AI应用下的个人资料处理提供合规建议；同时公布跟进三宗外傭不当使用雇主个人资料申请贷款的个案，显示公署对AI时代新型数据风险与滥用个人资料行为同步加强监管。

威胁组织ShinyHunters声称入侵数据中心运营商CyrusOne，泄露微软与Meta数据中心相关图纸、电气示意图及安全策略等文件，并提出1300万美元勒索要求。事件尚属攻击方单方声明，未经CyrusOne与受害科技巨头确认，若属实将凸显云基础设施供应链数据安全风险。