Google 發表安全報告，綜合去年在自家雲端平台上部署的不安全實例 (instances) 被入侵數據顯示，黑客最快只需 22 秒，便能在相關 instances 內安裝挖礦軟件，盜用受害者資源搵錢，而且 58% 入侵事件都能做出以上「佳績」，快過你沖杯咖啡！ 現時不少企業都會將工作移至雲端平台，不單可以節省成本，而且亦可以彈性加減所需運算資源。Google Cloud Platform 是其中一個最多人使用的平台，但使用者卻未必有足夠的安全意識，讓黑客可以快速入侵，盜取機密知識產權，或安裝挖礦軟件，免費使用受害者租用的運算資源挖礦加密貨幣。根據 Google 發表的報告顯示，以後者為目標的入侵明顯佔最多，幾乎 86% 因設定出錯而被入侵的 instances 都屬於此類。…

釣魚電郵又有新攻擊手法，黑客利用 Microsoft Exchange 伺服器早前被發現的 ProxyShell 及 ProxyLogon 漏洞，入侵企業帳戶，假扮員工向其他人發送內部回覆電郵，成功避過電郵防護系統的攔截。要成全這種攻擊，最要感謝企業 IT 部門未有為伺服器安裝安全更新檔案。 釣魚攻擊的成功率，取決於電郵能否令收件者相信沒有可疑之處，例如發送者的身份有否被驗證、電郵內的連結或檔案是否可疑等。從人類角度出發，如收件者的安全意識夠高，首先會檢查發送者的電郵地址是否偽裝、電郵內文是否錯字連篇；而從電郵防護系統出發，分析的準則就更多，系統甚至會檢查連結傳導的網頁是否與官方有分別。在眾多因素影響下，釣魚電郵攻擊者便要不斷改變攻擊方法，才能讓電郵落入收件夾及令收件者開啟惡意檔案或連結。網絡安全公司 Trend Micro 研究員最近便發現了一項有趣的攻擊手法，並撰文於網誌上跟大家分享。 研究員指出，黑客這次的目標是入侵企業電郵系統，當取得其中一個員工的電郵帳戶後，便會利用回覆電郵手法，將帶有惡意軟件的電郵發送給其他員工，如有員工信以為真，黑客便可於對方電腦安裝惡意軟件如 Qbot、IcedID、Cobalt Strike 及 SquirrelWaffle 等，當中滲透測試工具…

Black Friday 將至，相信不少網民已磨拳擦掌，準備大舉掃平貨。黑客同樣準備好過肥年，英國網絡安全中心 NCSC 正加緊巡查國內的電子商貿平台，特別是由中小企所成立的網購網站，由於缺乏安全意識，以至 NCSC 已先後向 4,151 個零售網站發出安全警告，指網站已被黑客入侵，客戶私隱正處於高風險。 不少購平台都會採用電子商務系統 Magento，因為它的功能豐富，但亦同時成為黑客攻擊的頭號目標。例如在今年初，網絡安全專家已指出有犯罪集團正利用 Magento 的已知漏洞，向仍未安裝安全更新的客戶發動攻擊。事隔半年有多，情況似乎未有改善，因此 NCSC 便趕在傳統購物旺季前，加緊於網上巡邏，搜尋國內仍存在漏洞的網購網站，以趕在旺季來臨前堵塞漏露，保護網站及潛在顧客。 一般來說，針對電子商貿平台的攻擊都是以盜取信用卡資料為主，犯罪集團會利用各種方法達成目標，例如於目標網站留言區注入惡意編碼的跨平台腳本 (Cross-Site Scripting) 攻擊，或暗中入侵網站的付款頁面，記錄客戶每一筆消費資料，而盜取的信用卡資料便可讓黑客冒名使用。雖然現時不少 Web…

SEO (Search Engine Optimization) 演算法，原本是讓搜尋引擎能準確為網民提供搜尋結果的技術，不過，黑客集團就反過來利用 SEO，將載有惡意軟件的網站提升至搜索結果前列位置。而 MenloLabs 研究員最新發現 REvil 及 SolarMarker 兩個網絡犯罪集團，正各自利用 SEO 排名散播木馬病毒，正在遙距工作的員工，必須加以提防。 所謂 SEO 排名，即是搜尋引擎在接收到網民的關鍵字搜尋時，根據相關程度而列出搜尋結果的優先次序。與 Googlead 的分別在於前者難以用廣告費獲得優先排名，黑客需要根據各種搜尋引擎的演算法條件，整理網站主題、網站內容、內外部連結、標題等因素，才能讓搜尋器自動向網民推薦該網站。 根據研究員的分析，今次兩個集團分別利用了以下技術提升含有木馬軟件的網站排名。首先黑客選擇了入侵使用…

電郵安全公司劍達（香港）有限公司發表 2021 年第三季度的電郵威脅指數 Green Radar Email Threat Index。第三季指數顯示為 64.6 分（上季為 63 分），反映企業面臨的電郵威脅風險維持於高水平而且有所增加。根據分析，第三季最常見的電郵威脅包括網絡釣魚和商業電郵詐騙攻擊，風險級別水平為「高」，其中商業電郵詐騙攻擊在今季上升趨勢持續，情況不容忽視。 報告又發現，黑客多將釣魚鏈接嵌入電郵附件內以嘗試繞過偵測；而假網站愈見難以識別，已普遍利用 SSL 證書和 reCAPTCHA 以騙取信任，部分攻擊更特別針對本港企業。 Green Radar 發表…

內部威脅 (insider threat) 一向是企業最頭痛的問題，因為員工雖然未必一定有心將公司機密外洩，但卻會因網絡安全意識不足，如開啟釣魚電郵、可疑檔案，親手為黑客打開入侵公司的大門。Microsoft 帶來好消息，旗下 Microsoft 365 將會客戶推出新服務，令 IT 部門更易發現可疑行為，及早制止慘劇發生！ 顧名思義，內部威脅指的是企業員工帶來的威脅，它可以是將機密資料外洩，又或「協助」黑客於內部網絡安裝惡意軟件如後門等，不過，員工未必有心做，很可能只是墮入釣魚電郵陷阱，或使用了一些未被允許的影子IT工具，因而令公司蒙受損失。要避免內部威脅降臨到自己身上，企業管理者除了要引入足夠的防護工具外，更需注重員工的安全意識培訓。美國網絡安全機構 CISA 早前亦推出新工具，協助美國私人或公營企業評估自家網絡安全性，由此可見內部威脅情況的確相當嚴重。 最近 Microsoft 就為客戶帶來 Insider Risk Management 新服務，提升…

人工智能技術提高攔截釣魚電郵的準確度，於是網絡罪犯又變陣，反利用人工智能盲點避開攔截。最新方式是利用算術符號取代知名品牌logo上的文字，例如美國電訊商 Verizon，就俾罪犯用平方根符號代替V字，驟眼睇好似 logo 原貌得來又有些微差別，令電郵呃到人又呃到人工智能，高招！ 網絡安全業界均肯定人工智能技術，必然有助提升惡意行為的攔截率，因為它具備機器學習功能，而且又能快速從不同渠道搜集網絡威脅資訊及趨勢，因此無論在調查及處理速度、標準化上，都較人類優勝。不過，始終人工智能的演算法都會依循一定規條，因此只要掌握它的規則，便有辦法找到入侵盲點。以這次打著 Verizon 旗號的釣魚電郵為例，一般人工智能技術都會著重檢查電郵內的品牌標誌是否偽造、內含的跳轉連結是否已被確認用於惡意行為等。網絡罪犯就利用這個規則，以平方根取代品牌的 V 字，令人工智能不會認為它是偽造的 Verizon 標誌，成功通過第一關。 不過，網絡罪犯當然不會單靠這招通關，這次發現的釣魚電郵攻擊還有其他招數。當收件者信以為真，點擊電郵內的語音留言 button，就會將收件者帶到一個虛假的 Verizon 網站。由於這次的目標是要令收件者以為正在瀏覽官方網站，所以網站的圖文排版都抄襲得一模一樣，專家指罪犯偷用了官方網站的 HTML 及 CSS 素材，因此才能令收件者信以為真。網絡罪犯亦特別利用新的 domain…

Google 計劃在 2021 年底為 1.5 億用戶推行兩步驗證，並要求 200 萬 YouTube 創作者開啟此功能。因應網絡安全意識月，Google 希望藉以表示他們的產品是默認安全的。 在一篇博客文章中，Google Chrome 產品經理 AbdelKarim Mardini 和 Google 帳戶安全和安全總監 Guemmy…

美國一間數碼身份公司早前進行一項研究，了解受訪者對創建密碼的策略及線上安全意識行為。研究竟發現，超過三分之一的人曾嘗試猜測別人的密碼，而當中更有四分之三的人成功登入；而有十分之一的人相信，有人可以從瀏覽他們的社交媒體，來猜出他們的密碼。所以密碼的設定絕不能掉以輕心，以免被人入侵帳戶而不自知！ 總部位於紐約的 Beyond Identity 早前與在美國與 1,015 人進行了訪談，發現無論是密碼共享，抑或是隨便馬虎的密碼設定習慣，都會讓許多人的個人或專業帳戶易受攻擊，這對公司和家庭用戶來說隱藏了巨大的風險。 研究揭示，很多人習慣共享了帳戶密碼，超過一半的人 (50.1%) 分享自己的影片串流媒體帳戶，也有接近半數人分享個人音樂串流媒體帳戶 (44.9%)。甚至有四分之一 (25.7%) 的人會連網上銀行密碼也「共享」。而平均而言，一眾受訪者會與其他人共享三個密碼。 研究表明，許多人曾試圖猜測別人的密碼，部分甚至成功猜對，超過 73% 的人設法猜到了他人的密碼。超過一半 (51.6%) 的人試圖猜測他們另一半的密碼，接近四分之一 (24.6%) 的人曾試圖猜測他們孩子的密碼，更有超過五分之一…

安全意識培訓真係有用㗎！根據 IT 安全公司 F-Secure 最新發表的研究報告，有1/3由員工舉報的可疑電郵，的確內藏惡意行為，例如包含虛假網站連結、帶有惡意功能的附件。萬一有惡意電郵可以繞過防護系統進入收件箱，員工就是一條重要的防線，所以老闆們一定要做好培訓工作呀！ 不少調查顯示，九成企業入侵事件是通過釣魚電郵達成，例如員工誤信電郵內容打開帶有病毒的附件，又或被引導至虛假網頁然後輸入公司帳戶資料，另外亦有員工墮入商業電郵詐騙 (BEC) 陷阱，將鉅款匯入犯罪集團的銀行帳戶，令公司帶來難以估計的損失。而 F-Secure 最新發表的報告，便著眼於員工舉報可疑電郵的準確度。 研究團隊一共分析了 20 萬封由企業員工於今年上半年舉報的可疑電郵，結果確認 33% 電郵的確帶有惡意行為。最多員工認為電郵有可疑的原因，有 60% 認為當中含有可疑的連結，其次為電郵由可疑或不明人士發送，其他如電郵內有可疑附件或疑似垃圾訊息，都是員工決定舉報的主要元素。另外，研究員又指出，如有「Warning」、「Your funds has」或「Message is…