📌 导语

2026年10月，《数据安全法》实施已满一周年。这一年，从分类分级制度落地到重要数据目录建设，从执法首案到跨境数据流动试点，中国数据安全治理框架初步成型。然而，今日曝光的SNOWLIGHT供应链攻击与SCRM客户端CrossHatch特马事件，恰恰折射出法规落地与真实威胁之间的鸿沟——攻击者正以经济动机驱动，瞄准跨境电商与AI基础设施，数据安全正从合规命题演变为动态攻防实战。

🔑 关键要点

1. 一年来数据安全法推动分类分级、重要数据目录和跨境流动规则三大制度初步落地，合规基线基本建立

2. 执法力度显著加强，全年公开处罚案件超200起，金融、电商、出行领域成为重点监管对象

3. 今日SNOWLIGHT供应链攻击事件表明，攻击者已转向经济目的驱动的精准打击，SCRM客户端和AI服务器成为新靶点

4. 法规对供应链安全、云端下发恶意代码等新型攻击范式的覆盖仍显不足，合规与实战之间存在结构性错位

5. 未成年人网络保护新规征求意见，标志着数据安全治理正从单一维度向多主体、多场景协同演进

🔍 深度分析

《数据安全法》实施一周年，成绩单可圈可点。制度层面，数据分类分级指南、重要数据识别规则、数据出境安全评估办法等配套文件相继出台，企业数据安全治理从“无章可循”进入“有规可依”阶段。执法层面，监管部门对多家头部平台开出罚单，涉及过度收集个人信息、未履行数据安全保护义务等，释放了强监管信号。跨境数据流动方面，北京、上海、深圳等地试点数据出境“白名单”机制，为跨国企业提供了可操作的合规路径。 然而，今日曝光的SNOWLIGHT攻击事件暴露了一个深层矛盾：法规要求的是“静态合规”，而攻击者打的是“动态对抗”。攻击者通过官方公告接口供应链+RCE组合，对SCRM客户端下发CrossHatch特马，安装包审计无恶意代码，恶意逻辑由云端触发——这种“合规时干净、运行时作恶”的模式，让传统基于静态扫描的合规检测几乎失效。更值得警惕的是，攻击者明确针对跨境电商和AI服务器，经济动机驱动下，攻击链条高度产业化、自动化，而多数中小企业的数据安全能力远未达到应对此类高级威胁的水平。 另一个信号是，全国网络安全标准化技术委员会换届，预示着未来标准制定将更贴近实战需求。数据安全法实施一周年，我们正站在从“合规达标”向“能力建设”转型的十字路口。法规解决了“要不要做”的问题，但“能不能防住”的问题，才刚刚开始作答。

⚡ 影响评估

对行业而言，数据安全法实施一年推动安全产业规模增长超30%，但供应链攻击的频发将倒逼行业从合规产品向实战化安全运营服务转型。对企业而言，跨境电商、AI、SCRM服务商面临更高的供应链安全审查压力，仅靠安装包审计已不足以证明清白，需建立云端下发内容的动态监控机制。对个人而言，未成年人网络保护新规若落地，将强化平台对青少年数据的特殊保护义务，但SCRM类工具泄露的客户数据仍可能波及大量消费者，个人数据权益保护仍需更细化的救济通道。

💡 建议措施

1. 企业应立即对SCRM、跨境电商工具等第三方组件开展供应链安全专项审计，重点排查云端下发接口和ASAR包动态加载逻辑

2. 建立数据安全“运行时防护”能力，对安装包解压后的自解压文件、Dropper行为进行实时监控，弥补静态合规扫描的盲区

3. 针对AI服务器和Linux平台，强化爆破防护和漏洞管理，部署反弹shell检测与bash脚本行为审计

4. 建议监管部门将供应链攻击场景纳入数据安全法配套细则，明确云端下发恶意代码的法律责任归属

5. 中小企业可借助网络安全保险和第三方安全托管服务，以较低成本获得高级威胁检测与响应能力

数安早知道

— 点击上方链接访问知识库，获取更多安全资讯 —