Intel 多個處理器晶片被發現存在安全漏洞，Google 安全研究員 Daniel Moghimi 指 Intel 用於最佳化記憶體的功能，竟可讓攻擊者蒐集到暫存器內的資料，從而獲得用家的密碼、加密金鑰，由於全球有數以億計電腦採用這系統處理器，因此影響範圍非常大，而且因為屬於硬件設計問題，暫時只能通過更新軟件方式修補，仍有機會被黑客利用。 想知最新科技新聞？立即免費訂閱 ！ 研究員針對漏洞開發 Downfall 攻擊技術 根據 Daniel 公開的報告顯示，這個被稱為 Downfall 的漏洞分別影響 Skylake 至…

一項存在於 AMD Zen 1 處理器的安全漏洞，可攻擊採用了該處理器的 Tesla 娛樂系統，結果不單能解鎖 Tesla 車主需要付費才可使用的功能，更可讀取儲存於系統中的車主私隱資料，由於該硬件漏洞無法通過系統升級堵塞，所以高風險用家要特別小心。 想知最新科技新聞？立即免費訂閱 ！ 針對 AMD 研究　進一步應用於破解娛樂系統 早在今年四月，德國柏林科技大學研究團隊發表了一項針對 AMD 可信平台模組（TPM）的安全研究，內容主要指出團隊可以利用電壓故障（Voltage glitching）注入攻擊技術，訪問 TPM 內部的加密密鑰，最終能夠破解所有倚靠…

早前 Microsoft 承認被中國黑客集團 Storm-0558 盜取的消費者簽名金鑰（Consumer signing key）一事， 有安全研究人員指出，原來不單可讓黑客入侵 Exchange Online 及 Outlook.com 帳戶，更影響到所有使用 Microsoft OpenID v2.0 驗證的應用服務，猶如擁有超能力的入侵者一樣。 想知最新科技新聞？立即免費訂閱 ！ 中國黑客組織濫用零日漏洞　受影響範圍成羅生門…

軟件開發者 Stephen Lacy 最近一份調查發現，開發者經常使用的開源程式碼平台 GitHub 上出現 35,000 個懷疑含惡意功能的專案，它們可以暗中竊取使用者儲存的帳戶驗證資料，其中一條程式碼更可讓黑客遙距執行指令，如經常使用 GitHub 者要留神。 GitHub 是全球最大的開源社群，它可供軟件開發者儲存程式碼專案，亦可讓開發者們之間進行交流，現時 GitHub 上已有超過七千萬會員，會員可以隨意瀏覽或下載其他會員上載的專案，不單有助開發者學習編程，甚至可直接將專案內容套用在自己的軟件內，可說是開發者的必備後台。不過，黑客亦看準 GitHub 的高使用量，因此會用各種方法散播惡意軟件，其中之一是上載有惡意功能的專案，如 GitHub 或其他會員未能發現，便可成功感染下載者的電腦設備。 這次由 Stephen…

隨著企業踏上數據轉型之路，陸續採用更多雲端服務及遙距工作工具，遭受網絡攻擊的層面亦大增。非牟利雲端安全機構 Cloud Security Alliance 早前完成一項相關調查，發現大部分企業都受身份驗證、帳戶權限及密鑰管理等問題困擾，除了引來黑客攻擊，內部員工亦可乘機作反。 新冠疫情開始至今已兩年多，期間不少企業為了讓員工工作，倉卒購入各種雲端遙距工作工具。雖然隨著疫情減褪，大部分企業已安排員工重回辦公室上班，但網絡安全專家指出，在數碼轉型的需求下，企業仍難以避免要採用更多雲端應用服務，因此被入侵的危機仍然會愈來愈高。Cloud Security Alliance 早前完成的一份調查報告一共訪問了安全業界 700 位專家，結果發現業界一致認為要建立一個安全的雲端運算環境，必須解決身份驗證、帳戶權限及密鑰管理等挑戰。 報告內歸結了四個常見的雲安全漏洞，包括：不安全的接口和 API、雲端服務設定錯誤、缺乏雲安全架構和策略、軟件開發環境欠缺安全策略。在不安全的接口和 API 方面，專家指可讓黑客有機會接觸到機密的資料庫，甚至可透過 API 獲取帳戶 token，從而控制帳戶。雲端服務設定錯誤，例如將數據庫資料設定成公開，有可能發生數據外洩問題。此外，缺乏雲安全架構及軟件開發環境欠缺安全策略上，前者可令黑客在取得一個普通帳戶權限下，通過漏洞提升至最高權限及隨意橫向移動，後者則有可能在開發過程取了藏有惡意程式的開源軟件使用。 網絡安全專家建議企業引入零信任 (Zero…

QNAP 的 NAS 設備又遭到勒索軟件攻擊，犯案集團 Ech0raix 早於 2019 年已鎖定 QNAP 設備，只不過這次又被發現新的攻擊樣本。據指 QNAP 在 2022 年已四度被勒索軟件攻擊，會否對商譽造成重大打擊？ 針對 QNAP NAS 發動的勒索軟件攻擊可謂一浪接一浪，去年 12 月勒索軟件…

勒索軟件攻擊毫無疑問是最常見的網絡攻擊之一，一般來說不法分子會將數據加密，並要求受害人如要獲得解密密鑰，必須支付贖金，他們還會竊取數據，並威脅在未收到贖款時將之公諸於世，甚至還會發動雙重勒索攻擊。任何被盜的數據都可能對勒索軟件團體有用，但根據網絡安全公司 Rapid7 的研究人員對 161 宗已披露的勒索軟件事件作分析，當中某些數據被認為比其他數據更有價值，究竟是哪些呢？ 根據 Rapid7 報告，金融服務行業是最有可能暴露客戶數據的行業，82% 的事件涉及勒索軟件團體存取數據，並威脅要公開這些數據，因為不法分子深知金融機構最重視的是聲譽，竊取和發布敏感的客戶資料會嚴重破壞消費者對他們的信任。因此有些商業機構的主管可能認為支付贖金，是避免數據洩露事故進一步受損害。 在針對金融服務公司的勒索軟件攻擊中，洩露最多的檔案是員工個人身份資料 (Personally Identifiable Information, PII) 和與人力資源相關的數據，佔受害者的 59%。透過針對這些資料，攻擊者可能會破壞員工對其僱主的信任，特別是如果他們認為其個人資料最終會被網絡犯罪分子公開發布及存取，並被用於欺詐和其他網絡罪案。 另一個常發現自己成為勒索軟件團體目標的行業是醫療及製藥業。他們的內部財務和會計數據是勒索軟件攻擊中最常洩露的數據，佔 71% 事件。客戶和病人的資料也經常因勒索軟件攻擊中被洩露，研究人員估算佔 58%…

Web3 是下一代互聯網而創造的術語，現時網絡已從以內容頁面為主的面貌，轉變為以社交媒體為主軸的世界。現時，去中心化的互聯網模式，正以 Web3 的概念作討論。有研究人員就新興技術面臨的最普遍威脅預計，社交工程攻擊（Social Engineering Attack）或主導 Web3 及 元宇宙（metaverse）的世界。 轉變成 Web3 的其中一個因素是元宇宙的盛行——一個 3D 環境和虛擬世界，能在個人或工作上，促進社交聯繫。用戶在元宇宙中的 ID，也可能會與加密貨幣錢包、NFT 和其他各種智能合約互連。隨著技術供應商致力於實行以上概念，Cisco Talos 的網絡安全研究人員提出了他們對 Web3 和元宇宙將面臨的潛在威脅的看法。…

勒索軟件攻擊與日俱增，但外國不少受害企業在支付贖金後，仍未如願重掌公司系統主控權。有研究指出，有 4% 的案例在支付贖金後，仍未能解鎖被鎖數據，有機會是犯罪分子捲款後直接逃跑，網絡安全專家警告不要支付贖金，並試著解釋原因。 據 Proofpoint 的網絡安全研究人員的分析，感染勒索軟件的組織中，有 58% 向犯罪分子支付解密密鑰的贖金，而且很多時他們更多次支付贖金。執法機構和網絡安全專家就警告，組織不要再支付贖金，因為不能保證犯罪分子所提供的解密密鑰有效，屈服於贖金要求更間接助長更多的勒索軟件攻擊，讓網絡犯罪分子覺得攻擊有效。 在支付贖金的人中，超過一半（54%）在首次支付贖金後，重新獲得對數據和系統的存取權限。但亦有另外三分之一的勒索軟件受害者，在收到解密密鑰前支付額外的贖金要求；另外 10% 的受害者也收到了額外的贖金要求，但拒絕了再支付贖金，在沒有重掌操控權的情況下選擇放棄該些數據資料。亦有 4% 的案例是受害組織支付了一筆或多筆贖金，但仍無法重掌其數據，原因可能是解密密鑰錯誤，或者網絡犯罪分子捲款逃跑。 當組織成為勒索軟件攻擊的受害者時，犯罪分子通常在發動攻擊前數週或數月就已潛伏在網絡中，意味著即使組織支付了贖金，黑客仍擁有控制權，再回來觸發另一次攻擊。Proofpoint 的網絡安全策略師 Adenike Cosgrove 向 ZDNet 表示，很多組織都沒有意識到即使只支付一次贖金，但犯罪分子實際已在其基礎設施中待了八星期，根本不知道他們還偷了什麼數據資料。被盜數據通常被用作勒索軟件攻擊的額外手段，犯罪分子多數會威脅若組織沒有支付贖金，他們就會將這些數據。雖然這確實迫使一些受害者付費，但不能保證網絡犯罪分子以後不會帶著額外的威脅回來發布被盜數據。…

勒索軟件對於網絡犯罪分子而言，是快速搵錢的途徑，相對於企業來說，要堵塞有可能被入侵的漏洞，就是避免損失的最佳法則。根據 Microsoft 的研究，解決勒索軟件帶來的威脅，是一眾資訊安全高層（CISO）當前面對的最大網絡安全挑戰，其次是配置雲端安全和保護混合、多平台的企業環境。 根據調查，勒索軟件是 2021 年最嚴重的網絡安全問題，一眾首席資訊安全人員認為，網絡犯罪分子將繼續嘗試加密網絡作攻擊，藉以要求企業支付數百萬美元的贖金換取解密密鑰，意味勒索軟件的攻擊仍然頻繁。 而勒索軟件即服務（Ransomware-as-a-Service, RaaS）的興起也令威脅擴大，令更多的網絡犯罪分子投入勒索軟件活動，企業成為攻擊的受害者風險隨之增加。Microsoft 負責安全、身份和合規性的副總裁 Vasu Jakkal 表示，個人網絡犯罪分子不再需要開發自己的工具，他們可以透過購買網絡犯罪工具服務，將其納入他們的攻擊中，使普通網絡犯罪分子擁有更好的工具和攻擊趨自動化，實現規模化攻擊之餘，也降低了其成本。她指出，因著成功的勒索軟件攻擊形成了背後的經濟模式，所有類型的攻擊都在增加，推動攻擊快速發展。 除了被視為頭號威脅的勒索軟件，CISO 還面對包括雲端安全的問題：由於混合工作模式的興起，雲端安全已被推到關注點的最前沿。雲端服務一方面提供了機會，但亦帶來了一些需要解決的安全問題，例如員工能夠很方便地遙距存取公司雲端帳戶，但能從任何地方存取公司資料的方式，也同時為網絡犯罪分子提供了額外的途徑滲透網絡，特別是當他們能夠竊取真實用戶的用戶名和密碼的時候。 根據 Microsoft 的調查，CISO 在 2022 年面臨的其他關鍵網絡安全挑戰，還包括招聘安全專業人員，以及在不犧牲安全性的情況下，提高用戶生產力。而雲端安全是今年最需要的投資的項目，其餘包括漏洞管理和應用程式安全等。…