呢個世界好難有完美嘅事，就算你砌咗隊好勁嘅班底去搞 app，出嚟嘅製成品都總會有瑕疵。不過，其實大家都接受晒啲 app 有 bug，最重要係開發商反應夠快兼唔好推三推四，先至唔會釀成關公災難！ 講緊嘅係 Uber，呢間今年 IPO 集資最多嘅創科企業，絕對有資格請最好嘅工程師同埋程式員去做好隻 app 啦，但係都唔保證唔會出事，好似 2016 年 Uber 已經衰過一鑊，將幾百萬司機同乘客嘅個人資料外洩，結果要賠成 1.48 億美元先平息到件事，但賠錢事小，商譽受損事大，當時行政總裁 Dara Khosrowshahi 就話會積極補救，去挽回顧客信心。 當然啦，呢啲門面說話係…

網絡安全事故頻頻發生，香港企業當然不可能獨善其身，特別是雲技術興起，重要數據或敏感資料未必會只儲存在內部伺服器，被攻擊的層面自然大增。為了減低風險，現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過，面對層出不窮的攻擊手法及難以防備的人為疏忽，企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說，這類保險概念在香港屬起步階段，但在歐洲地區卻歷史悠久，遠在上世紀七十年代已有相關保險，因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟，不單只保障企業，個人一樣受保，例如經常拿著電腦到不同地方工作的自由工作者，保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險，主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇，但網絡安全保險就相對陌生。盧子頴解析，網絡安全保障範疇不難理解，當發生黑客入侵或資料外洩，善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障，主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後，企業必須聘請專家去證明這是否一宗網絡安全事故，進行調查及鑑證，分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報，便有可能需向法律顧問諮詢意。除此之外，為免外洩的客戶資料被黑客用作申請信用卡或借貸，企業或有需要採用信貸監控服務，而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業，這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額，例如過往的交易紀錄等，但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞，又或受到勒索軟件攻擊，待專家取證後，企業便可以修復系統及復原數據，涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱，導致客戶在名譽或金錢上出現損失，對方便有可能入禀追討賠償。 除了上述四項保障，盧子頴說因應市場需求，部分保險公司還會提供一些額外的保障，例如贖金索償，當企業遭受勒索軟件攻擊，有需要繳付贖金以取回解鎖方法，這些贖金便會獲得賠償。「另外，近年因外判商失誤造成損失的個案大增，所以亦有保險公司提供這類保障，例如一些業務涉及電子交易的企業，會委托外判商提供及管理網上交易平台，如證實導致資料外洩的失誤是出在對方身上，投保人便可獲得保障，而保險公司則保留向外判商追討損失的權利。」 事實上，網絡安全保險的保障範圍可以很全面，不過，盧子頴強調與其他保險產品一樣，投保的概念並非為了賺錢，而是減少損失。不過，是否所有企業也需要投保？他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information（PII），而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料？如需管有這些敏感資料，受黑客攻擊的風險便會增加，企業管理者應認真考慮投保，特別是全球各地都開始為保障個人私隱立法，歐盟通過的 GDPR…

網絡安全公司 Arkose Labs 剛推出 2019 年第三季 《Fraud and Abuse Report》 ，調查結果顯示，有超過一半（53％）社交媒體嘅登入都係機械人製造出嚟；而所有新開嘅帳戶中，亦有 25% 係假嘅，情況愈來愈嚴重。Arkose Labs 指出愈來愈多社交媒體攻擊，如帳戶盜用、假帳戶、垃圾訊息等，唔單只由黑客或騙徒操作，仲有 75% 會靠機械人執行，真係非常誇張。 Arkose Lab 指帳戶盜用問題之所以特別猖獗，皆因門檻不高，而且唔少人會以社交媒體帳戶登入其他服務，奪取到帳戶就可以攞到好多個人資料，成本效益更高。Arkose…

雖然 iOS 系統比較封閉，安全性一直較 Android 為高，但始終唔可能百分百安全，好似最近又被網絡安全專家發現，黑客可以利用一種名為 URL Scheme 嘅漏洞，透過惡意應用程式去盜取用戶登入其他應用程式，例如 WeChat 嘅個人資料，如果用戶一個唔留神，仲有可能幫黑客嘅消費找埋數添！ URL Scheme 基制提升客戶體驗 為咗防止應用程式暗中讀取其他應用程式嘅執行數據，Apple 喺 iOS 作業系統上利用咗沙盒（Sandbox）功能，將每個應用程式放置喺隔離空間執行，咁就可以防止互相讀取資料嘅行為。不過，為咗方便用戶喺用緊一個應用程式時，點擊一個功能鍵或網址連結就可以打開另一應用程式，或透過 Facebook、Gmail、WeChat 帳戶作為登入其他應用程式嘅認證，Apple 就喺…

人哋用得你嘅服務，梗係相信你可以守護佢哋嘅私隱，點知上載嘅相可以喺網上任睇，全無私隱可言，咁仲唔係虛假宣傳？Online Buddies 就係因為咁而被告喇。 網絡安全公司嘅研究員經常會進行一啲網上調查，分析一啲應用服務供應商提供嘅服務有無漏洞存在，因為服務供應商未必有足夠人手去監測自己嘅伺服器有無問題，所以當研究員發現到漏洞所在，就會第一時間通知對方修補，而喺漏洞修補後或對方過咗一段時間都無反應，先至公開漏洞等對方正視。一般嚟講，服務供應商都會即刻解決問題，以免影響用家嘅信心，或被黑客入侵造成更大嘅損失。 Online Buddies、Jack’d 共用儲存平台 除咗以上兩項風險，服務供應商仲有可能被執法機關起訴。美國紐約一個專門提供同性戀交友平台應用服務嘅公司 Online Buddies，喺上星期五就俾紐約州總檢察長 Letitia James 檢控，指出被告公司早年收購嘅 Jack’d 手機約會應用軟件存有誤導成分，令用戶相信其上載嘅相片有足夠私隱保護，可以防止被授權以外嘅人睇到，但被告一方卻對漏洞視而不見，收到報告一年都無修補漏洞，令用戶嘅個人私隱蒙受損失，結果判處罰款 24 萬美元，同時勒令 Online Buddies 要持續改善網絡安全程度。…

一般大眾已經能夠輕鬆應付詐騙電郵及短訊，但係唔知點解，响 Google Calendar 見到 Spam 竟然又會「鬼掩眼」，立亂打開嚟睇，傻更更中招。 Kaspersky 最近發表文章，指有不法份子利用 Google 工具如 Calendar、Photos、Drive 等嚟發動攻擊，當中以 Calendar 最多人用，因此亦最多人中招。 黑客採用嘅方法非常簡單，就係利用 Google Calendar 預設嘅默認功能，識得自動添加日曆邀請和通知，如是者，只要黑客擁有對方嘅電郵地址，就可以向目標發送包含網絡釣魚嘅惡意連結。由於 Calendar 預設值係自動添加，所以就會喺用家嘅日曆上出現呢個邀請通知。可能用家較少遇過呢種攻擊，所以會戇居居開咗，之後又傻更更送上信用卡及個人資料。…

雲端應用大行其道，企業在數碼轉型的大趨勢下，都開始進行各種部署，當中網絡安全就是其中一個考慮重點。早前硬體安全模組供應商 nCipher Security 與 Ponemon Institute 聯合發佈了一項名為《2019 港台加密趨勢研究》的調查報告，內裡指出有 48% 港台企業認為員工疏忽為數據安全的首要威脅，另外有 91% 港台企業表示希望數據加密技術可在企業內部及雲端環境中運作使用，反映管理者均意識到保護數據安全的重點——必須掌握主導權，而 BYOK（Bring Your Own Key）就是最可靠的方法。 獨立硬體演算省電腦資源 nCipher Security 大中華區業務總監戴文忠指出，互聯網上各種活動，簡單如發送及接收電郵或瀏覽網站，以至較複雜的電子支付等，都需要在執行指令前進行身份驗證，「舉例每部智能手機都有一張獨立的電子證書，證明這部手機的身份屬實及沒有被冒認，當核實了溝通雙方的身份後，才能執行之後的動作。」為了防止這張電子證書被冒認，製造商必須以數據加密的方法將它「鎖起」及存放起來，實際上就是通過密碼學（Cryptography）的各種演算法例如…

睇得多警訊都知，騙徒手法層出不窮，要避免中招，當然要認清今期流行嘅攻擊手法。網絡安全公司 Kaspersky 剛啱出咗今年第一季度報告，總結電郵騙案嘅手法。結果發現，以下 5 大手法雖然唔算新招，但真係萬試萬靈！ 騙徒手法一：情人節裡出陰招 第一季度最大節日非情人節莫屬，關於送禮嘅騙案特別多，騙徒扮交友或者花店網站 send 訊息俾你，唔單只會提你買禮物送俾另一半，亦有騙徒會溫馨提示男士買定偉哥為佳節做足準備，誓要引到人點擊訊息入面嘅虛假網站連結，再輸入埋信用卡資料就大功告成！ 騙徒手法二：賣有毒蘋果 唔係白雪公主入面嘅女巫先識得用毒蘋果，其實每次蘋果有新產品發佈，都係騙徒搵食時機！Kaspersky 發現三月底蘋果出新產品時，每日中招人數由平時幾千個急升至幾萬個，最高峰嗰日甚至接近八萬人，佢哋大部分都係收到電郵通知，點擊連結後去到假蘋果網站，無防備下輸入 Apple ID 驗證，就咁就俾人呃咗個帳戶資料。如已經綁住信用卡，真係可以瘋狂用嚟購買 iTunes 點數卡㗎。 騙徒手法三：我係嚟幫你整機嘅 而家電腦出問題，十居其九會上網搵技術支援啦。報告指出近來社交媒體同埋討論區出現大量貼文，聲稱可以幫你一次過搞掂幾樣電腦產品問題，而且騙徒仲寫明會收取合理價錢提升可信性，等你唔會以為免費冇好嘢而唔幫襯。最諷刺嘅係，騙徒連 Kaspersky…

黑客的攻擊招數多到離譜，簡單如上網睇戲、購物，都有極大可能踩地雷，可讓黑客暗裝惡意軟件，又或偷走信用卡資料。個人娛樂都算，最慘是現時工作已離不開在互聯網上搵資料，為免公司電腦中招，難道要禁絕員工上網？又或要由公司內聯網隔離一些電腦出來，只供員工上網搵料？瀏覽器隔離（Browser isolation） 技術的出現，就可讓人放心上網，同時又可令電腦免受黑客攻擊。這種技術就連美國國防信息系統局（DISA）亦會於明年全面採用，就知有多強勁可靠。 資安少林寺畢業生 瀏覽器隔離技術，可以簡單地理解為在完全隔離的虛擬機器上執行上網活動，就好似拆彈專家遙控機械人拆炸彈一樣，就算爆炸都不怕炸傷自己。Symantec 於兩年前收購的 Fireglass，其創辦人 Dan Amiga 來頭甚勁，他曾經是以色列國防部（IDF） 8200 部隊的成員，8200 部隊可說是資安界少林寺，很多少「畢業生」都曾經是著名科技公司的創辦人，包括 ICQ、Check Point、Wix、Imperva 等等。 Fireglass 創辦人 Dan Amiga（左）及Symantec…

FIDO 聯盟與 Google 剛於世界通訊大會（MWC）上宣佈 Android 取得 FIDO2 認證，用戶不再需要輸入密碼，就可以用手機及流動裝置登入 app 或網站。任何 Android 7.0 Nougat 或以上版本，更新 Google Play Services 就可以透過手機內建的指紋辨識感測器，或是 FIDO 標準的實體金鑰，登入支援…