合规资讯

在国家数据局支持下，广州、深圳及横琴粤澳深度合作区同时入选国家数据领域国际合作首批试点，标志着广东在数据跨境流动领域迈出关键一步。深圳依托前海聚焦基础设施联通、标准协议互认等四大方向，广州以南沙为核心构建"设施—规则—载体—生态"四位一体体系，横琴探索跨境数据便利化通道，为数据合规跨境流动提供先行经验。

天津市工程管理学会8月15日发布出海合规专题，系统梳理沙特《个人信息保护法》及跨境传输规则。文章指出，随着沙特"2030愿景"推进，SDAIA已构建以PDPL为核心的数据治理框架，中企需通过SCCs、BCRs等机制实现数据合规出境，并建议优先数据本地化存储、最小化跨境传输范围。

国家计算机病毒应急处理中心8月10日发布预警，境内已发现多起"Sorry"勒索病毒攻击事件。该病毒利用cPanel授权绕过漏洞（CVE-2026-41940）入侵公网Linux服务器，批量窃取业务数据后以AES加密文件并横向传播，国内主流Linux发行版及信创系统均受影响，暂无可靠解密手段。

苏格兰皇家检察署（COPFS）8月13日披露，其参与苏格兰政府数据成熟度调查时提交的员工信息因第三方供应商遭网络攻击而可能泄露，涉及约300名员工的姓名、职务和工作邮箱。COPFS强调自身系统未被攻破、事件与案件工作无关，供应商8月5日发现可疑活动后已展开调查。

英国信息专员办公室8月12日训诫ACRO刑事记录办公室，因其网站与内容管理系统在2021至2023年间遭遇三次入侵，最多10920人的个人信息（含家暴受害者等敏感数据）面临暴露风险。ICO指出该机构存在补丁管理责任不清、安全告警未充分调查等缺陷，因网络隔离与补救措施到位仅予训诫未处罚。

俄罗斯关联勒索组织Cl0p声称利用PTC Windchill与FlexPLM软件漏洞，入侵壳牌、飞利浦、通用电气、Fiserv等近50家全球企业并窃取大量数据，其中壳牌约89GB、飞利浦约13.5GB。多家企业已确认或正在调查相关入侵，事件再次凸显供应链软件漏洞在规模化数据窃取中的风险。

云通信平台RingCentral披露遭社会工程攻击入侵，勒索团伙ShinyHunters声称窃取623GB数据并在公司拒绝支付赎金后，于暗网公开280GB压缩档案。泄露数据监测机构Have I Been Pwned确认档案包含160万个账户记录，涉及姓名、邮箱、电话号码和物理地址。RingCentral于7月28日首次披露事件，称系复杂社会工程攻击所致，核心平台未受影响、服务未中断，且未发现新的未授权活动。ShinyHunters近一年已攻击数百家Salesforce客户及多家Snowflake客户。

纽约市议员Shahana Hanif联合隐私倡导组织、音乐人在麦迪逊广场花园外举行集会，推动限制公共场馆部署人脸识别技术的立法。MSG长期使用人脸识别扫描入场观众并建立观察名单，曾拒绝数百名涉诉律师入场，WIRED调查发现其数据库为约400名名人和VIP分配风险评分，部分档案还包含种族和性取向信息。禁扫描法案已获27名市议员支持，超过市议会半数，配套法案拟同时禁止房东使用生物识别技术，两个法案均面临小企业阻力。

公安部网安局近日公布一批打击侵犯公民个人信息犯罪典型案例，揭示当前个人信息泄露的几类典型套路：不法分子非法破解电商平台加密订单数据还原收件人信息，四川内江警方破获团伙非法获取个人信息200余万条、涉案金额800余万元；上海警方打掉利用共享充电宝向旅馆换取住客信息的犯罪团伙，涉案金额1100余万元；广东、山西警方分别侦破行业内鬼爬取倒卖经纪人信息、教培机构员工倒卖学生数据的案件。公安机关提示公众与商家提高防范意识，从源头筑牢个人信息保护防线。

身份盗窃资源中心（ITRC）发布2026年中期报告，上半年共记录1,803起数据泄露事件，向消费者发出的受害者通知超过4.71亿份，已超2025年全年2.975亿份的记录。教育平台Canvas单起事件贡献2.75亿份通知，占总量一半以上；供应链攻击以38起初始事件引发2.806亿份通知。IBM研究显示2025年3月至2026年2月期间四分之一数据泄露借助AI实施，同比上升56%；恶意内部人员事件从2025年全年3起激增至上半年21起，朝鲜深度伪造求职渗透被指为关键结构性因素。