上月教育行業受勒索軟件影響之後，英國國家網絡安全中心（National Cyber​​ Security Center, NCSC）就如何保護網絡免受網絡犯罪分子侵擾提出建議，並警告針對學校、學院和大學的勒索軟件攻擊激增。 政府通訊信總部（Government Communications Headquarters, GCHQ）網絡安全部門的警報指，在過去一個月中，針對教育的勒索軟件攻擊數量激增，而與此同時，學校亦正準備恢復面授課程。 勒索軟件會攻擊加密伺服器和數據，從而阻止組織提供服務，在這種情況下，網絡罪犯企圖令學校和大學因要維持教學，而屈服於勒索要求，並要求受害者以比特幣支付贖金，換取恢復網絡的解密密鑰。而在最近受影響的教育機構中，勒索軟件令學生課程、學校財務記錄以及與 COVID-19 測試的有關數據損失。這些黑客威脅如果他們沒有得到贖金，便會發布被盜數據。 NCSC 運營總監 Paul Chichester 表示，任何網絡犯罪分子以教育行業作為目標，是完全不能接受的，並指這是一個日益嚴重的威脅，強烈鼓勵學校、學院和大學跟從指引採取行動，確保學生能不受干擾。NCSC的網絡安全建議包括制定有效的漏洞管理策略和安裝安全修補應用程式；以多重因素身份驗證，保護遙距線上服務，以及安裝和啟用防病毒軟件。 另外，NCSC 亦建議組織作離線備份，倘遇到因勒索軟件攻擊而需關閉網絡，仍可在不需支付贖金的情況下，恢復內容。 NCSC…

比特幣近月的爆升潮，令加密貨幣再度成為熱話，不過在藝術圈流行的相關術語，卻是 NFT。NFT 全名 Non-fungible Tokens，它可以是任何形式數碼商品，最易理解的 NFT，是由 NBA Top Shot 推出的 Moment，影片是球員在生涯中最精彩三分球、灌籃、助攻等剪輯而成，由 NBA 授權，並以傳統球星卡包方式發售，買家隨機獲得幾位球星的 Moment。Lebron James 的 Cosmic Dunk Moment，就以超過 20…

企業慘成網絡攻擊受害者，有時都好難只責怪黑客，好似 HP 最新發表的報告就話，Microsoft Office 一個 2017 年高風險兼已推出修補檔的漏洞，依然有好多企業未堵塞，結果有 87% 同類型網絡攻擊都專攻這項弱點，後悔都太遲喇！ 已知的安全漏洞的危險性在於代表相關產品存在缺陷，可讓黑客輕易入侵及執行各種非法行為，例如安裝木馬軟件、盜取個人私隱、開啟 webcam 監控等，但 HP 網絡安全研究員發表的報告就指出，上年 10 月至 12 月期間在使用已知漏洞進行攻擊的個案中，有 87% 均利用…

據外電報道，Acer 遭到 REvil 勒索軟件攻擊及勒索 5000萬美元。 據 Bleeping Computer 報道，勒索軟件集團REvil 早前攻破了Acer 的保安系統，並在周末透過網站洩漏聲稱是被盜文件的圖片。 被洩漏的文件包括和 Acer 相關財務電子表格、銀行賬戶內容和銀行通信等，專家相信勒索軟件集團是利用 Microsoft Exchange 的漏洞進行攻擊。 目前沒有消息確認 Acer 是否已經向勒索軟件集團支付贖金。而該公司沒有直接承認是否遭受勒索軟件攻擊。相反，Acer…

專家發現，部分採用電子商務系統 Magento 的網購平台再被黑客入侵，新的攻擊手法會將客戶的信用卡資料加密後放入 JPG 圖像，然後才外送至黑客操控的 C&C 中心，令網購平台及網絡安全工具難以發現！ Magento 一向是網購平台喜愛採用的系統，因為它的功能較豐富，但亦同時成為黑客攻擊的目標之一，例如專用盜取信用卡資料的黑客集團 Magecart 就是當中的表表者，曾一度入侵超過 200 萬個使用了 Magento 的網站。此外，Magento 在上年 6 月停止對 1.x 版本作技術支援後，有黑客更在網上公然兜售…

iOS 其中一款下載次數逾百萬的通話錄音 app 「call recorder」，被安全專家發現竟然存在身份驗證漏洞，開發商儲存於AWS雲端上的用家通話記錄及通話錄音，都可以通過修改 API 指令，被黑客隨意竊取，好兒戲喎！ ClubHouse 語音社交平台早前被爆漏洞，有心人可以闖入不同房間錄音，再將用家對話的語音檔上載網上分享。雖然用家在房間內的公開發言，都會預計有可能被錄音，所以未必有太多機密訊息，但在不知情下被竊聽，感覺始終不太愉快。不過當換轉通話錄音 app 出現安全漏洞，情況就完全不同，因為使用錄音 app 一般都有工作需要，例如記者做電話訪問、同客戶開會等等，當中總涉及一些機密資料。而 PingSafe AI 網絡安全研究員 Anand Prakash 最新發現的安全漏洞，便與 iOS 其中一款下載次數逾百萬的通話錄音…

香港金融管理局 (HKMA) 於去年 11 月推出的加強版網路防衛評估架構「C-RAF 2.0」，特別在產品開發周期上提升了合規要求。全球第七大軟件公司 Micro Focus 夥拍香港系統整合商 Resolve Technology，推出 Fortify 解決方案，可確保金融業將安全性在開發流程中的位置「左移」(shift left)，貫通整個流程，金融業就可放心推出新服務，提升競爭力。 新服務成金融業致勝關鍵 作為亞洲金融中心，香港的金融業均積極引入各種金融科技，同時致力縮短產品開發周期回應市場的需求。不過，企業安全產品代理商 B & Data 總經理…

一方面，遠程工作、IoTs、網民秒秒遞增；各路黑客的交流平台由 Dark Web 擴展到 Clubhouse 等不同社交平台；裝置網速工具急速演化；雲端、Hybrid Cloud、Edge Platforms 將數據進一步集中，唯獨法規與執法效率追不上時代步伐，國家隊黑客卻諷刺地例外。事實上，企業在資安上一向都靠自己，但在 COVID-19 後擔子史無前例重，2020 年末 Solarwinds 中伏，向其近 2 萬客戶無料放送 Sunburst Malware，幾多人受影響未知，但美國國務院、國防部、軍火供應商、重要電訊商與大學院校均在名單之上，美國政府矛頭指向俄羅斯，是否開打網戰大家不妨買花生，但我們先談談企業資安部署困境。如果這宗事件仍未夠警世，Cybersecutiry Ventures 報告指…

為了避開電郵防護工具攔截，黑客可謂奇招盡出，安全專家警告，有10,000個Microsoft電腦服務帳戶，被新一輪仿真度極高的釣魚電郵襲擊。黑客除了冒充FedEX、DHL等速遞公司發出電郵，更避開使用容易被防護工具判斷為釣魚電郵的發信伺服器、電郵主題及內容，更利用Google Firebase及Quip等免費服務，令電郵變得身家清白，極容易受騙。 電郵防護服務供應商Armorblox最新報告顯示，黑客看準市民在疫情下經常使用FedEX、DHL等速遞服務，於是便冒充有關公司大量發出釣魚電郵，企圖提升收件人打開電郵內連結或PDF檔案的成功率，進而騙取收件人的Microsoft帳戶或公司帳戶的登入資料。雖然攻擊手法看似跟以往的釣魚釣擊相似，不過專家指出無論在電郵內容的仿真度上以至其他配套，就較以往的釣魚電郵更精密，以及會使用更多免費的合法工具去逃避電郵防護工具的偵測。 先說說電郵防護工具的運作原理，傳統工具的系統除了會比對電郵內有否已知的惡意元素，例如發信方的電郵地址、伺服器、電郵主題及內容等之外，還會掃描附件或內裏的連結有否可疑之處，如發現有問題便會攔截下來，再交由收件人去決定如何處理郵件。新的電郵防護工具或會提供沙盒(sandbox)功能，讓用家在有需要時於完全隔離環境打開郵件，以免電腦設備在過程中受到感染。 黑客由於熟知上述防護原理，因此在製作釣魚電郵時，便會避開可疑元素，例如避免在電郵內使用Urgent等字眼，減少被系統攔截的機會。而今次Armorblox發現的新釣魚電郵，更將經連結跳轉的虛假帳戶登入頁面，寄存在合法的免費服務上，例如Google Firebase及Quip等，由於寄存位置可信，再加上偽造的頁面逼真得沒有漏洞，於是便能獲電郵防護工具放行。 安全專家指出，有證據顯示愈來愈多釣魚攻擊會將跳轉連結的虛假頁面或惡意附件檔，寄存在合法的免費服務上，警告電郵用家要進步提高警覺，不要誤以為電郵防護工具能夠百分之百攔截釣魚電郵或其他攻擊，最重要是要細閱電郵內容，如有任何可疑之處便絕不能打開附件或點擊任何連結。 資料來源：http://bit.ly/3pNuOUt

COVID19 推動 Work From Anywhere，打工仔覺得更有效率，但管理層覺得屏幕濾走積極與熱情，畢竟值班行山這類例子並不罕見，特別疫下百業蕭條，中層更加需要證據證明大家盡忠職守，每日最早與早夜的電郵收發時間已不能成為勤力指標，遠程工作下應有另一套管理規範，但員工老闆們暫時未必有共識。 新一代「提升效率工具」，讓僱主可以全方位洞察員工如何運用工作時間，包括瀏覽歷史、App Screen Time、甚至微管理至 Keystrokes Logging 與 Desktop Session，換句話可說是「攞正牌的黑客」。Skillcast 與 YouGov 2020 年 12 月調查顯示，20％ 僱主正在或有意引入監察員工線上活動工具；英國的…