-
个人信息
Workday刚披露了一起数据泄露事件：社会工程攻击成为企业安全新隐患
HRTech概述：Workday 确认近期发生数据泄露：黑客通过社会工程手法入侵一家第三方客户关系数据库，窃取了包含姓名、邮箱、电话号码在内的联系信息。Workday 表示，目前“没有迹象”显示其客户租户（customer tenants）或其中的人力资源与员工数据被访问，但未明确受影响个体数量与对象（如员工或客户）。该事件与近期针对 Salesforce 托管数据库的攻击潮高度一致：包括 Google、Cisco、澳航 Qantas、珠宝零售商 Pandora 在内的多家大型企业均被盗取大量联系人数据。
2025年8月18日 —— 全球人力资源科技巨头 Workday 确认遭遇一起新的数据泄露事件，再次凸显社会工程攻击对企业系统构成的严重威胁。
根据公司在官方博客发布的声明，攻击者未经授权入侵了一家 第三方客户关系管理（CRM）平台，窃取了部分商业联系信息，包括姓名、电话号码和电子邮箱地址。
Workday 强调，其 核心系统保持安全，没有迹象显示客户租户数据或员工敏感信息遭到泄露。不过，公司已切断与受影响系统的连接，并提醒客户提高警惕，防范未来可能出现的网络钓鱼或欺诈攻击。
更大规模攻击的一部分
调查人员指出，此次事件与近期针对 Salesforce CRM 环境的全球性攻击行动密切相关。过去数月，Google、Cisco、澳洲航空（Qantas）和 Pandora 等大型企业都曾遭遇类似入侵。
安全研究认为，黑客组织 Scattered Spider 和 ShinyHunters 可能是幕后推手。这些组织广泛使用 社会工程学手段，例如冒充 HR 或 IT 部门，通过电话和短信欺骗员工，从而获取系统访问权限。
人为因素成最大隐患
这一事件提醒企业，尽管云平台和企业应用已成为运营核心，但黑客越来越倾向于利用 人为因素 而非技术漏洞突破防线。
专家指出，警觉、身份验证以及防范社会工程攻击的机制，如今已与防火墙和加密等传统技术手段同样重要。企业需要进一步强化多因素认证（MFA）、限制外部连接应用的权限，并提升员工的安全意识培训，以降低此类风险。
信息来源：Workday 官方博客、相关行业媒体报道
-
个人信息
数据所有权的争夺战：领英(LinkedIn)在禁止访问用户个人资料的问题上败诉
(路透社)-最近，一家联邦上诉法院驳回了领英阻止旧金山一家公司使用该专业社交网站用户认为是公开的信息的努力。
美国第九巡回上诉法院维持了2017年8月的一项初步禁令，该禁令要求拥有6.45亿用户的微软子公司领英(LinkedIn)允许hiQ Labs Inc访问公开的用户资料。
旧金山上诉法院以3:0的比分做出的这一裁决，使硅谷反对从社交媒体账户或网站上“数据抓取”或提取信息的努力受挫。批评人士称，这种行为等同于盗窃或侵犯用户隐私。
巡回法官Marsha Berzon称，hiQ显示，如果没有禁令，该公司将面临无法挽回的损失，因为它可能在无法访问的情况下倒闭。
她还表示，让领英(LinkedIn)等公司“自由支配”谁可以使用公共用户数据，可能会造成损害公共利益的“信息垄断”。
“LinkedIn对其用户提供的数据没有保护财产权益，因为用户保留对其个人资料的所有权，”贝尔松写道。“至于公开的个人资料，用户显然希望其他人也能看到，”包括潜在雇主。
领英在一份声明中表示，它对这一决定及其选项感到失望，并将“努力保护我们的会员及其委托的信息”。
hiQ的律师没有立即回应置评请求。此案已交由旧金山地区法官陈德昌(Edward Chen)审理，陈德昌签发了禁令。
分类广告网站Craigslist曾支持领英的上诉，警告称，这项禁令可能会产生“危险影响”，因为它让“坏人”更容易找到不受欢迎的电子邮件、短信或电话营销目标。
不过，贝尔松表示，hiQ对领英的行为提出了严重质疑，包括它能否援引针对电脑欺诈和滥用的联邦法律，阻止“搭便车者”访问用户数据。
她写道:“当然，LinkedIn可以通过取消公共访问选项来满足其‘搭便车’的担忧，尽管代价是牺牲了许多用户的偏好，也可能牺牲了自己的底线。”
乔治·w·布什(George W. Bush)总统手下的前美国副检察长格雷戈里·加雷(Gregory Garre)是craigslist的代表，他没有立即回应置评请求。
美国总统巴拉克•奥巴马(Barack Obama)手下的副检察长唐纳德•韦里利(Donald Verrilli)是领英的代表。哈佛法学院教授Laurence Tribe是hiQ的律师之一。
案件是hiQ Labs Inc诉领英(LinkedIn Corp .)，美国第九巡回上诉法院，第17-16783号。
以上由AI翻译，仅供参考
你怎看这个判例？当然此案例详细还会继续打下去。最近国内对于个人数据管理非常严格，也抓了不少对于个人信息的大数据公司。
来源 https://www.reuters.com/article/us-microsoft-linkedin-profiles-idUSKCN1VU21W
-
个人信息
网络服务提供者窃取信息将受罚 最高100万元
昨日，记者从公安部官网注意到，公安部近日就《公安机关互联网安全监督检查规定（征求意见稿）》公开征求意见。
意见稿拟规定，互联网服务提供者窃取、非法出售、非法提供个人信息，即使不构成犯罪，没有违法所得，也将被处以最高一百万元的罚款。
重点监督两年内发生过网络安全事件单位
规定适用于公安机关依法对互联网服务提供者和联网使用单位履行法律、行政法规和部门规章规定的网络安全责任义务情况进行的安全监督检查。
其中最值得注意的是意见稿第二十五条，即公安机关在互联网安全监督检查中，发现互联网服务提供者和联网使用单位，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，应当依照《网络安全法》规定，处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。
按照征求意见稿，在国家重大网络安全保卫任务期间，公安机关可以对互联网安全情况实行专项检查，重点检查的内容包括提供的互联网接入服务、信息服务和上网服务等是否符合网络安全要求；是否组织开展网络安全风险评估，并采取相应风险管控措施，堵塞网络安全漏洞隐患等。
对于两年内曾发生过网络安全事件、违法犯罪事件，或者因未履行法定网络安全责任义务被公安机关依法给予行政处罚的互联网服务提供者和联网使用单位，公安机关应根据具体情况重点监督抽查。
对于提供互联网信息服务的互联网服务提供者和联网使用单位，公安机关还要重点检查其是否采取了用户发布信息管理、已发布违法信息消除和防止扩散的措施。
检查可采取现场或远程监测的方式
在检查程序方面，互联网安全监督检查可以采取现场检查或远程监测的方式进行，现场检查的监督检查人员不得少于2人，并且应当出示警察证和《执法检查通知书》。
互联网服务提供者和联网使用者单位有违法行为，造成危害网络安全等后果或者拒不改正的，公安机关可以根据不同情况依法给予行政处罚。
对于征求意见稿，公众可登录公安部网站（网址：http://www.mps.gov.cn）查阅，有关建议可在2018年5月4日前通过电子邮件方式发送至syjyc@vip.126.com，或传真至010-66262319。
扫一扫 加微信
hrtechchina
