科技新聞

    網絡安全機構 Group-IB 發表調查報告,揭露一個以騙取泰國及越南市民人臉數據及身分證明文件的中國黑客組織 GoldFactory 的詐騙手法。黑客會誘騙目標人安裝 iOS 或 Android 木馬程式,從而暗中盜取這些資料,再利用 deepfake 技術去進行金融詐騙。研究員指現時攻擊仍然持續,香港用家亦要小心防範。

    Deepfake 深度造假技術相信大家都耳熟能詳,早前香港就有一間跨國公司的員工受騙,導致公司損失過億港元。而這次被 Group-IB 研究員發現的黑客組織 GoldFactory,過往亦有開發一系列的惡意軟件,如 GoldDigger、GoldKefu 等,但在最新的惡意軟件 GoldPickaxe 中,還加入了盜取目標人物的生物辨識數據的功能。

    訊息以當地語言寫成

    研究員指出,GoldFactory 集團最早在去年 10 月開始散播 GoldPickaxe,它分為 iOS 及 Android 版本,黑客首先會通過 LINE 社交應用程式接觸目標人物,利用社交工程攻擊讓對方相信自己是政府機構,由於訊息以當地語言寫成,因此某程度上亦令目標人士信以為真,並按黑客指示安裝聲稱為退休金的應用程式。

    針對 Android 用家的攻擊比較簡單,黑客首先會將 GoldPickaxe 偽裝成上述的應用程式,或以其他名目在 Google Play 上架,之後只要誘使目標人物在官方商店或以 apk 形式安裝便可。研究員說 iOS 則比較複雜,因為 Apple Store 的驗證手續嚴謹,而且系統本身不容許安裝第三方軟件,因此黑客必須說服目標人物執行其他安裝方式,例如借助 iOS 用於讓開發者發布小規模測試程式的 Testflight 功能,或用於配置手機的 MDM 移動設備管理配置文件,才能成功將木馬程式載入 iPhone 內。

    可以deepfake偽冒通過銀行身分驗證

    無論目標人物安裝哪一個版本的惡意軟件,研究員說 GoldPickaxe 便可在背後半自動操作,包括聯繫黑客的 C2 控制中心、彈出要求受害者錄製臉部影像或拍攝身分證明文件的訊息、將數據上傳控制中心等,而由於 Android 系統取用手機其他功能的自由度較大,因此黑客還可上傳受害者手機內最新拍攝的 100 張相片、瀏覽文件系統及讀取短訊,破壞力更大。

    研究員解釋,雖然黑客並非直接破解手機系統內儲存的 FaceID 數據,但相信黑客在取得這些資料後,便可以 deepfake 技術偽冒當事人,通過當地金融機構如銀行的身分驗證,特別是當超過一定金額,銀行便會要求當事人進行生物識別檢查,才能進行交易。而要防範這種攻擊,只能夠從源頭出發,必須小心驗證對方的身分,同時不應從非官方途徑下載及安裝應用程式,便可減少受騙機會。

    資料來源:https://www.bleepingcomputer.com/news/security/new-gold-pickaxe-android-ios-malware-steals-your-face-for-fraud/

    網絡安全精英嘉許計劃(「計劃」)由香港警務處、政府電腦保安事故協調中心 (GovCERT.HK) 和香港電腦保安事故協調中心 (HKCERT) 合辦,集結各行業的網絡安全專才,齊心對抗網絡威脅。本計劃旨在表彰不同界別的網絡安全人員的卓越成就和專業技能。

    活動詳情及報名連結:https://cyberdefender.hk/cspa2023/

    來到一年之始,每年的這個時候,大家都希望自己擁有一顆能預知未來的水晶球,預視 2024 年的局面及趨勢。2023 年,人工智能(AI)、ChatGPT 和無數先進技術吸引全世界討論,成為全球熱話。來到今年,這些創新科技不應再被視為挑戰;反之,新興技術解鎖各種各樣可能性,我們應該把握箇中機遇。

    撰文:Red Hat香港、台灣及澳門區總經理文志鋒

    Red Hat 委託 Economist Impact 進行的《適應型領袖剖析:駕馭新興技術》(Anatomy of adaptive leaders: Navigating emerging technologies)最新調查結果顯示,儘管香港企業在採用新興技術方面取得了相當大的進展,但仍有進步空間。

    64% 香港企業表示已全面採用雲端運算, 36% 表示處於初步採用階段。近 9 成全面採用雲端運算的香港企業表示該技術,助公司保持競爭力方面發揮關鍵作用。另外,68% 的企業在現代應用程式開發方面取得明顯進展,60% 的公司在採用開源原則和技術以及建立數據主權方面也取得一定進步。

    香港企業在來年應如何作充足準備在不斷變化的數碼經濟環境中,透過創新科技帶來的機遇提高效率和創造價值?2024 年開源技術將如何發展?

    在未來一年將有三大關鍵趨勢,為香港以至亞太區帶來重大影響:
    1.超越雲端

    過往大多數企業認為要從非結構化資料中提取價值十分困難。不過,由於資料分析技術進步,以至近期的生成式人工智能(generative AI)技術也能擷取及分析非結構化資料,企業善用更多公司資料的能力有所提升。這也導致數據需求增加,在雲端儲存及處理所有資料可能不再是最有效的選擇。

    企業能透過結合邊緣運算與其目前的雲端策略,更有效管理預算及工作量,從而獲得優勢。邊緣運算將繼續在亞太區發展,及至 2027 年,規模料將從 2023 年的 437 億美元,增長至 810 億美元。

    在新一年,企業料將繼續尋找優化成本和營運效率的方法,例如採用無伺服器運算技術。開源解決方案亦能讓企業根據自身需求來制訂合適的基礎設施,從而獲得更度身訂制的服務及產品,同時具規模地掌握更高控制能力。

    2.人工智能持續加快創新步伐

    2024 年人工智能將繼續成為企業關注焦點,因這項技術幾乎改變了所有行業,但我們似乎才剛開始理解它對社會所帶來的影響。除了基礎模型,人工智能將啟發更多創新工具的研發;而且它是一種開源技術,將促成生成式人工智能應用程式數目激增,賦予企業領袖更大信心來應對轉變的速度和規模。

    2023 年,GitHub 的首次開源貢獻者增幅創歷史新高,主要增長動力來自亞太區開發者社群。例如,在印度等經濟體領先區內,開發人員數目超過 1,320 萬名,按年增長逾 30%。僅 2023 年上半年,生成式人工智能項目數量便已是 2022 年的逾兩倍。

    然而,正當我們仗賴人工智能技術解決最困難的挑戰並改善工作場所效率的同時,企業亦需確保人工智能在存取、技能和知識方面均兼具包容性。企業領袖應以身作則,引領企業採用能夠應對未來的工作方式,才能適應轉變並蓬勃發展。

    3.安全續成重點要務

    ChatGPT 大大引起主流意識對生成式人工智能的關注,改變人類對人工智能的看法;企業更在經濟前景不明朗的環境下,利用人工智能技術改善業務流程和資源效率。

    同時,使用相關技術的方式也引起隱憂。根據《Red Hat 2023全球技術展望》報告,IT 領袖認為安全將繼續是首要的資金撥用項目。在現今這個資訊時代,資料越來越容易獲取,私隱和安全變得越趨重要。與開源社群的情況相同,我們預計受使用的軟件和元件審查將會越來越嚴謹,例如運用強大的分析工具和自動化安全測試,在開發早期便把漏洞識別出來。這種行事方式的轉變或會影響開發人員的工作方式,在作出某些設計決策時,側重以安全為核心考慮。

    我們預計企業持續關注安全,也將改變其管理資料的方式。要從資料當中取得最有效的洞察分析,企業則必須確保資料準確且適時。故此,我們可預期更多企業將加強關注資料溯源,以更清楚掌握數據的來源、完整性和真確度。

    網絡安全機構 Group-IB 發表調查報告,揭露一個以騙取泰國及越南市民人臉數據及身分證明文件的中國黑客組織 GoldFactory 的詐騙手法。黑客會誘騙目標人安裝 iOS 或 Android 木馬程式,從而暗中盜取這些資料,再利用 deepfake 技術去進行金融詐騙。研究員指現時攻擊仍然持續,香港用家亦要小心防範。

    Deepfake 深度造假技術相信大家都耳熟能詳,早前香港就有一間跨國公司的員工受騙,導致公司損失過億港元。而這次被 Group-IB 研究員發現的黑客組織 GoldFactory,過往亦有開發一系列的惡意軟件,如 GoldDigger、GoldKefu 等,但在最新的惡意軟件 GoldPickaxe 中,還加入了盜取目標人物的生物辨識數據的功能。

    訊息以當地語言寫成

    研究員指出,GoldFactory 集團最早在去年 10 月開始散播 GoldPickaxe,它分為 iOS 及 Android 版本,黑客首先會通過 LINE 社交應用程式接觸目標人物,利用社交工程攻擊讓對方相信自己是政府機構,由於訊息以當地語言寫成,因此某程度上亦令目標人士信以為真,並按黑客指示安裝聲稱為退休金的應用程式。

    針對 Android 用家的攻擊比較簡單,黑客首先會將 GoldPickaxe 偽裝成上述的應用程式,或以其他名目在 Google Play 上架,之後只要誘使目標人物在官方商店或以 apk 形式安裝便可。研究員說 iOS 則比較複雜,因為 Apple Store 的驗證手續嚴謹,而且系統本身不容許安裝第三方軟件,因此黑客必須說服目標人物執行其他安裝方式,例如借助 iOS 用於讓開發者發布小規模測試程式的 Testflight 功能,或用於配置手機的 MDM 移動設備管理配置文件,才能成功將木馬程式載入 iPhone 內。

    可以deepfake偽冒通過銀行身分驗證

    無論目標人物安裝哪一個版本的惡意軟件,研究員說 GoldPickaxe 便可在背後半自動操作,包括聯繫黑客的 C2 控制中心、彈出要求受害者錄製臉部影像或拍攝身分證明文件的訊息、將數據上傳控制中心等,而由於 Android 系統取用手機其他功能的自由度較大,因此黑客還可上傳受害者手機內最新拍攝的 100 張相片、瀏覽文件系統及讀取短訊,破壞力更大。

    研究員解釋,雖然黑客並非直接破解手機系統內儲存的 FaceID 數據,但相信黑客在取得這些資料後,便可以 deepfake 技術偽冒當事人,通過當地金融機構如銀行的身分驗證,特別是當超過一定金額,銀行便會要求當事人進行生物識別檢查,才能進行交易。而要防範這種攻擊,只能夠從源頭出發,必須小心驗證對方的身分,同時不應從非官方途徑下載及安裝應用程式,便可減少受騙機會。

    資料來源:https://www.bleepingcomputer.com/news/security/new-gold-pickaxe-android-ios-malware-steals-your-face-for-fraud/