不少企業也有為員工舉辦網絡安全培訓課程，以為做完就安全？可惜事與願違，有調查發現34%員工受訓後依然用紙寫低密碼，60% 員工依然接駁公共 Wi-Fi 工作。其實舉辦培訓都要成本，究竟如何才能有效地運用資源？一齊學習四個要點。 根據 TalentLMS 和 Kenna Security 一項員工網絡安全風險意識調查發現，大部分安全培訓都未能達到預期效果。調查訪問了 1,200 個美國員工，當中 69% 已接受安全培訓，除了上述學完等於無學的例子外，受訪者當中有 61% 未能通過主辦機構提供的基本安全測試。 由此可見，設計網絡安全培訓課程絕不簡單，罐頭式培訓內容未必。網絡安全專家認為安全培訓課程要有成效，不可忽略以下四點。 定期審核：做完培訓班都要有跟進，企業管理者必須安排人手定期進行內部審計，評估員工有否執行課程內容，例如檢查員工電腦有否未經批准使用的軟件、帳戶密碼是否繼續採用易於破解的組合，同時亦可留意員工工作枱上有否隨意擺放敏感度高的文件。如效果未有改善，就有可能要改課程內容或教學方法。 實用淺白：影響網絡安全培訓效率的經典原因是內容大路及充斥大量專業術語。首先如員工未能了解釣魚電郵、社交工程攻擊的意思，根本無法了解自己有可能中招的原因。另外如內容過於大路或理論化，員工亦無法將課程內容應用到實際工作上，因此導師應針對行業實況及公司文化，設計出實用淺白的教程，同時以實例進行分析，確保員工清楚掌握入侵原理。 持續培訓：培訓應定期進行，一次性課程不可能讓員工記住所有內容，最好每次課程有不同主題，加深員工印象。…

勒索軟件攻擊持續威脅企業網絡安全，有研究指出，今年首三個月所回報的勒索軟件攻擊事故中，有超過一半是兩個網絡犯罪組織所為。究竟是哪兩個組織作惡多端？ 根據 Digital Shadows 的網絡安全研究人員於 2022 年 1 月至 2022 年 3 月期間，所記錄的勒索軟件攻擊的分析，LockBit 2.0 和 Conti 是這段期間內最活躍的兩個勒索軟件組織，他們所策動的攻擊佔全部事故的 58%。而在這兩者中，LockBit 是更極「多產」，佔勒索軟件攻擊的 38%，幾乎是…

愈來愈多人加入加密貨幣及非同質化代幣 (NFT) 市場，不過在投資之餘，用家卻未必擁有相關的網絡保安知識，例如未有好好保管電子錢包帳戶的助記詞 (seed phrase)，導致錢包帳戶被清空。其中一個加密貨幣電子錢包供應商 MetaMask 用家最近就成為受害者，供應商因未有知會用家儲存在 app 內的 seed phrase 會自動備份到 iCloud 帳戶上，因此有用家在釣魚攻擊下痛失存款，最慘烈的個案更損失價值 65 萬美元儲存的資產，似乎使用 cold wallet 會較安全。 擁有…

不少企業也有使用的 AWS 無伺服器運算平台 Lambda，最近被發現成為黑客集團專門攻擊的對象，專家估計黑客非法使用企業客戶的 AWS 帳入登入資料，偷偷進入並安裝挖礦程式，運行數星期後，令企業客戶損失 45,000 美元的資源使用費。由於 AWS 僅負責基礎架構及網絡的安全責任，如因客戶自己的安全措施不足而被入侵，損失就貴客自理，企業客戶要清醒喇！ AWS Lambda 是一種無伺服器 (serverless) 運算服務，它的好處是使用者毋須花心機及時間去管理伺服器，例如部署的作業環境、操作指令等，便可以順利執行自己開發的程式，令開發人員可以更專注程式開發工作。採用 AWS Lambda 的案例很多，大家日常也有可能用到而不自知，例如一些可供網民自由轉換圖案、文件格式的網站，便有可能使用了類似的無伺服器運算服務。而對中小企業客戶來說，AWS Lambda 除了可減少管理伺服器成本，由於運算資源的擴展彈性大，即使有突如其來的業務使用需要，亦能即時加購資源，因此對資金不足的中小企尤其重要。…

印度一間蚊型銀行竟然棄守網上業務，無正版防火牆、無反釣魚電郵工具，更不用說會安裝入侵偵測系統。結果銀行於去年 11 月被黑客入侵，網絡罪犯利用 super users 帳戶開新戶口存入盜取的款項，再於全國 938 部 ATM 提款卡撳走「存款」，輕輕鬆鬆完成入侵任務。 銀行屬於高風險行業，實體店有可能被打劫，網上銀行亦有可能被網絡攻擊，所以管理層必定會做好防禦工作，例如聘請護衛、安裝網絡防禦工具。不過，印度一間只得 45 間分店、總存款只得 4 億盧比(約四千多萬港元)的蚊型銀行 Mahesh Bank，管理層不知道是心口有個勇字抑或心存僥倖，竟然未有做好網上防禦工作，於事故發生後的調查期間多次令警方感到震驚。 警方解釋事件來龍去脈，發言人指出事故發生在去年 11 月，攻擊的起點是黑客在三天內向銀行職員發出超過…

繼勒索軟件之後，專門竊取私人資料的惡意軟件又愈來愈流行。一款名為 BlackGuard 的同類型惡意軟件，最近成為地下討論區的焦點，因為用家只要付出 200 美元月費或 700 美元終生使用權，就可以輕易偷到各式各樣私隱資料，當中包括電子錢包登入資料、各款即時通訊軟件的通話記錄及 VPN 帳戶資料…… 勒索軟件由於要安排收取贖金的途徑，除非光顧「勒索軟件集團即服務 (RaaS)」的一站式服務，否則對於一般罪犯來說，使用勒索軟件的風險極大。相反，專門盜取私隱資料的惡意件就較適合個體戶，因為罪犯可使用它去盜取網民的加密貨幣電子錢包帳戶資料，將加密貨幣存款轉走；賊人亦可以信用卡資料進行網購或買點數卡，再加上這類惡意軟件收費平宜近人，所以亦有不少捧場客。 這次網絡安全公司 Zscaler 研究員發表的 BlackGuard 報告，就指出這款由今年一月開始，在俄羅斯地下討論區出現私隱竊取惡意軟件受到熱烈關注。它具備的功能非常廣泛，可以偷取各類瀏覽器儲存的密碼、屬於瀏覽器電子錢包擴充元件儲存的登入資料、加密貨幣電子錢包儲存的登入憑證、Outlook 電郵軟件及各款即時通訊軟件的通訊記錄、VPN 軟件的登入資料等，這些資料都會被加壓成 ZIP 檔案並上轉至黑客組織的控制中心，客戶只須繳付上述的費用，就可以登入帳戶查閱。…

Web3 是下一代互聯網而創造的術語，現時網絡已從以內容頁面為主的面貌，轉變為以社交媒體為主軸的世界。現時，去中心化的互聯網模式，正以 Web3 的概念作討論。有研究人員就新興技術面臨的最普遍威脅預計，社交工程攻擊（Social Engineering Attack）或主導 Web3 及 元宇宙（metaverse）的世界。 轉變成 Web3 的其中一個因素是元宇宙的盛行——一個 3D 環境和虛擬世界，能在個人或工作上，促進社交聯繫。用戶在元宇宙中的 ID，也可能會與加密貨幣錢包、NFT 和其他各種智能合約互連。隨著技術供應商致力於實行以上概念，Cisco Talos 的網絡安全研究人員提出了他們對 Web3 和元宇宙將面臨的潛在威脅的看法。…

繼之前連環公開 Nvidia、Samsung 等公司部分技術的源始碼，Lapsus$ 的最新受害者是 IT 龍頭公司 Microsoft。據知相關應用服務包括搜尋引擎 Bing、Bing Maps 及智能個人助理 Cortana。Microsoft 快速回應被入侵事件，更反過來公開對方的入侵手段及技術，希望能避免再出現受害者。 隨著勒索軟件 REvil、Darkside 被執法機構高調打擊，其他勒索集團的行動都趨向低調，以避免成為下一個打擊目標。唯獨 Lapsus$ 例外，由二月至今已不停高調公開入侵個案，特別是對方如沒有在限期前交贖款，Lapsus$ 便會毫不客氣直接披露部分敏感資料，例如 Nvidia 用於監測顯示卡挖礦活動的…

一款性價比極高的惡意軟件 BitRAT 現正扮演成 Windows 10 作業系統的啟動版權器，透過不同平台散播，如網民下載使用，便可讓黑客遙距進入電腦系統，不單個人私隱資料會被盜用，電腦設備更有可能被利用於 DDoS 攻擊，又一個便宜莫貪的示範例子。 作為最多人使用的電腦作業系統，Windows 的盜版軟件經常都被利用於惡意活動上，雖然新版 Windows 是有方法可以免費升級，但前提是用家必須擁有 Windows 7 的正版軟件。網絡安全公司 AhnLab 研究員最近便捕捉到一項新的惡意活動，將 BitRAT 木馬軟件假扮為 Windows…

多重因素驗證 (Multi-Factors Authentication, MFA) 被視為防止帳戶入侵的強力武器，不過最強武器都要懂得使用，否則都未必可以為公司網絡保平安。美國CISA及FBI最新公布的一個入侵個案，受害的 NGO 機構雖然都有用 MFA，不過黑客依然有門路入侵，企業的 IT 管理員要注意！ 根據 CISA 及 FBI 的案情透露，懷疑由俄羅斯政府支持的黑客組織能夠成功入侵 NGO，建基於 NGO 的 IT 工具存在的兩個失誤。讓黑客於內部網絡建立立足點的第一個失誤，是…