【附報告連結】警發布首份網絡安全報告　一圖睇清三大重點

警方網罪科發布首份《網絡安全報告 2024》，簡報香港過去一年的網絡安全形勢。報告揭示網罪科去年處理超過 2,500 萬項網絡威脅情報，其中 44 萬項針對本港；又分析香港網絡安全事故三大問題，包括存取控制和配置不足、系統過時且未修補，以及欠缺威脅偵測機制。網罪科去年評估了超過 90,000 個香港重要基礎設施，發現當中 5% 存在不同程度的系統安全漏洞。

逾 44 萬項網絡威脅情報針對本港

去年，網罪科處理超過 2,500 萬項網絡威脅情報，即平均每日處理超過 68,000 項情報，當中以網絡釣魚（Phishing）佔比最重達 58.6%，其次是殭屍網絡（Botnet）27.6%、惡意軟件（Malware）12.4% 等。至於針對香港的網絡威脅情報，則有超過 44 萬項，佔所有情報約 1.76%，當中同樣以網絡釣魚佔最多，高達 65.2%，其次是殭屍網絡（17%）及偵察（9.4%）。

根據網罪科觀察所得，網絡釣魚這類攻擊手法既可被用於詐騙活動，亦能製造網絡攻擊的入口。除了高成功率外，網絡釣魚攻擊的盛行有多種原因： 低廉開發成本、低技術門檻、容易進行大規模攻擊，以及人工智能（AI）技術的出現。

WhatsApp 帳戶騎劫案件　總損失金額達 7,350 萬

值得留意的是，由 2023 年底至 2024 年初期間，本港 WhatsApp 帳戶騎劫案件顯著上升。在 2,989宗「帳戶盜用」個案中，涉及 WhatsApp 的騎劫案件多達 2,547 宗，總損失金額更高達 7,350 萬港元。

騙徒主要以網絡釣魚的兩種「中間人攻擊」手法入侵帳戶，包括利用釣魚短訊詐騙（Smishing）發送附有虛假網站連結的釣魚短訊，誘使受害人在欺詐網站上輸入手機號碼及 WhatsApp 驗證碼；或者是建立假冒的 WhatsApp 登入頁面，並在搜尋器投放廣告，當用戶搜尋 WhatsApp 時，欺詐網站會出現在搜尋結果中，用戶進入虛假網站後會被要求掃描惡意二維碼，一旦掃描後，騙徒可以騎劫用戶帳戶，再向其親友騙取金錢。

評估逾 9 萬個重要基礎設施

針對重要基礎設施的網絡威脅，報告顯示 2024 年網罪科評估超過 90,000 個屬於重要基礎設施的網絡資產，包括劃一資源定位址（URLs）、域名及互聯網規約（IP）地址，發現當中 5% 存在不同程度的系統安全漏洞。此外，在已識別的系統安全漏洞中，89% 被歸類為中低風險，僅 11% 屬極高及高風險級別，主要包括憑證外洩或遭盜用、可被騎劫的子域名，以及被暴露的雲端儲存服務，而所有被識別的系統安全漏洞均已適時修補。

三大問題被黑客重複利用

警方認為，主動分析網絡威脅情報對預防潛在網絡攻擊至關重要。透過剖析過去的網絡安全事件，網罪科發現不同香港機構中被重複利用的系統安全漏洞：

問題一．存取控制和配置不足

自 2020 年遙距辦公浪潮以來，虛擬私人網絡（VPN）通訊閘和遠端桌面協定（RDP）連接因其高權限，成為系統入侵者主要的踏腳石。 在 2024年，網罪科發現網絡攻擊者持續利用兩個主要媒介來攻 擊 VPN 通訊閘和濫用 RDP 以獲取未經授權的接達：

1．未修補的漏洞

攻擊者迅速利用已公開的通用漏洞披露（CVE）平台來作為武器，去攻擊 VPN 和 RDP 基礎設施中未修補的漏洞。從漏洞被公開披露，直至機構修補漏洞之間出現 的時間差，仍然存在明顯安全漏洞。

2．憑證攻擊

攻擊者利用憑證攻擊成功入侵系統，包括對單一憑證系統進行暴力攻擊、使用外洩數據集進行憑證填充攻擊、使用常見或容易猜測的密碼進行密碼噴灑攻擊，以及專門設計的魚叉式網絡釣魚活動，以獲取特定權限用戶的身分憑證。

問題二．系統過時且未修補

未修補的防火牆和舊版系統仍是主要攻擊目標。當製造商發佈安全更新時，實際上等同揭露舊版本中存在的系統安全漏洞，無意間向攻擊者暴露這些系統的弱點。

問題三．欠缺威脅偵測機制

根據網罪科觀察，受害公司通常欠缺威脅偵測機制，讓威脅者能夠入侵並潛伏於網絡中，並造成災難性後果。

受害機構平均需要 258 日才能識別並遏制資料外洩事件，而涉及被盜或外洩憑證的網絡攻擊則需要延長至 292 日才能被偵測和遏止。遏制資料外洩事故的時間越長，修復其破壞的成本越高。因此，警方建議機構必須部署強大的威脅偵測機制，如保安資訊和事件管理（SIEM）系統及端點偵測和回應（EDR）解決方案，以縮短攻擊者潛伏時間並減輕對機構的潛在損害。

來年網絡威脅預測

1．人工智能網絡威脅及系統安全風險上升

2．勒索軟件繼續猖獗

3．Web3 相關網絡攻擊越趨頻繁

4．物聯網安全風險不斷升級

5．供應鏈和第三方風險逐漸增加

6．雲端保安與混合工作模式的風險持續升溫

7．針對重要基礎設施的攻擊陸續湧現

閱覽詳細報告：https://www.police.gov.hk/info/doc/cstcb/cstcb_csr_2024.pdf