合规资讯

教育科技公司PowerSchool就旗下Naviance大学与职业规划平台被诉嵌入第三方追踪工具Heap、未经同意收集学生键盘输入、点击、鼠标移动及致辅导员私信等敏感数据一案，与原告达成1725万美元和解，最终批准听证会定于8月19日举行。Google、微软和Hotjar同意删除存储的学生数据。

医疗健康数据科技公司CareCloud向美国卫生与公众服务部（HHS）提交的文件确认，今年3月发生的网络攻击实际影响375.6万名患者，远超此前披露的34.5万人，成为2026年美国第五大医疗数据泄露事件。泄露数据含姓名、地址、社保号、医疗信息及银行财务信息，通报延迟问题再度引发关注。

美国CISA、FBI与卫生与公众服务部8月18日更新Medusa勒索软件联合咨询（AA25-071A），确认自2021年6月出现以来已影响超过500家机构，覆盖医疗、国防、制造业、政府、IT和金融等关键基础设施领域。新警告详述其通过初始访问经纪人获取权限、24小时内利用新披露漏洞的攻击模式。

美国司法部8月18日宣布起诉17名伊朗籍被告，指控其隶属Mabna研究所、为伊斯兰革命卫队（IRGC）实施长达多年的网络间谍活动。该团伙自2013年起入侵144所美国大学、42家美国企业及至少5个联邦和州机构，窃取逾31TB学术研究与知识产权数据，造成约34亿美元损失。

IAPP 8月19日刊发分析文章指出，巴西国家数据保护局（ANPD）第六期"技术雷达"系列报告聚焦深度伪造治理，揭示深伪风险在内容生成之前即已产生、发布之后仍长期存在。报告虽不创设新监管义务，但正值ANPD职权扩张之际，其对合成媒体的全生命周期治理思路对全球组织具有借鉴意义。

GitLab于8月17日发布非例行紧急安全更新，修复编号CVE-2026-19478的关键漏洞。该漏洞存在于GraphQL指令中，CVSS评分高达9.4，未认证攻击者无需任何凭据或用户交互即可远程修改或删除公共项目及用户数据。安全公司watchTowr已在蜜罐网络中观测到在野利用尝试，受影响的自托管实例需立即升级。

德克萨斯大学圣安东尼奥分校（UTSA）因周末遭遇未授权网络入侵，将原定8月19日的秋季学期开学推迟至8月24日。校方称攻击在网络边缘即被拦截，未发现数据被访问或外泄，但为彻底排查环境、加固防线而主动下线部分系统，导致电话、选课等服务中断。该校拥有逾4.2万名学生。

澳大利亚连锁公寓酒店Quest Apartment Hotels于8月17日发现第三方服务商数据库遭未授权访问，确认涉及2025年6月前记录的逾150万条客户数据，包括姓名、邮箱、地址等联系方式，少量记录含出生日期。公司已通知澳洲信息专员公署与网络安全中心，完成遏制与修复，并提醒客户防范钓鱼攻击。

拉脱维亚道路交通安全局（CSDD）8月18日确认遭受重大网络攻击，120万公民与约20万家企业的数据被窃取，占全国近190万人口的三分之二。泄露数据涵盖2008年以来18年的缴费收据记录，包括姓名、地址、个人身份码、车辆登记号及付款信息。总理库尔贝格斯称事件已上升至国家安全层面，不排除外国势力参与，警方已介入调查。

爱尔兰高等法院院长David Barniville于7月29日签发《负责任使用生成式AI实务指引》（HC 142），自9月1日起适用于所有民事诉讼文件。指引要求任何使用GenAI生成的法庭材料必须经人工控制下的独立核验，宣誓书与证人陈述须声明未使用GenAI生成实质内容，违规将面临不利费用令、文件被驳回甚至撤销诉讼等制裁。