美國保險巨頭 Allianz Life（安聯人壽）為 Salesforce 攻擊潮的其中一名受害者，公司的敏感數據近日更被洩露至暗網及社交平台，據報外洩的數據量涉及 280 萬客戶及商業合作夥伴的私隱資料，如姓名、地址、電話號碼和出生日期，當中還包括稅務識別號碼、財務顧問的執照信息、產品許可等。 專家指出，這些外洩信息可能被用於身分盜竊、詐騙，甚至針對性的網絡攻擊，對公司及客戶來說，都是一場極大的災難。 想知最新科技新聞？立即免費訂閱！ 黑客集團於 Telegram 開設洩密頻道 近年黑客們將目光瞄準第三方雲端服務供應商，近期最引人注目的就是針對 Salesforce 的一系列攻擊。雖然 Salesforce 本身提供的服務沒有安全漏洞，但黑客集團如 ShinyHunters 等就透過社交工程手段，誘騙目標企業員工安裝內藏惡意功能的 OAuth…

Salesforce 攻擊潮的受害者再添一員！Google 日前確認用於與潛在 Google Ads 廣告客戶交流的 Salesforce CRM 平台遭入侵，導致資料外洩，涉及超過 250 萬筆潛在客戶的基本資料。發動是次攻擊潮的黑客組織，更向 Google 勒索 20 枚比特幣（約 230 萬美元）。 想知最新科技新聞？立即免費訂閱！ 無洩漏客戶付款資訊 根據…

Chanel 成為 Salesforce 攻擊潮中的最新受害者，導致美國地區部分客戶資料外洩。據知，是次攻擊由全球性黑客組織 ShinyHunters 發動，屬近日廣泛社交工程攻勢中的其中一部分，其他受害品牌包括有香港客戶受影響的 Louis Vuitton（LV）、Dior 等。而 Saleforce 則表示其主系統並未被破解，呼籲客戶自身落實基礎網安措施。 想知最新科技新聞？立即免費訂閱！ 客戶數據庫由第三方服務商管理 事件發生在 7 月 25 日，Chanel 偵測到有黑客入侵客戶數據庫，該數據庫是採用 Salesforce…

著名遊戲平台 Steam 再次爆出網安事件！一款尚在搶先體驗階段的遊戲《Chemia》遭黑客集團 EncryptHub 植入惡意程式，導致許多玩家在未察覺的情況下下載並中毒。是次事件再度提醒玩家，下載尚未正式發佈的遊戲時需格外小心，也反映 Steam 對早期體驗遊戲的審查機制可能存在漏洞。 想知最新科技新聞？立即免費訂閱！ 根據網安公司 Prodaft 的調查，事件發生於 7 月 22 日，黑客 EncryptHub（亦被稱為 Larva-208）將惡意檔案注入《Chemia》遊戲並上架至 Steam 平台，玩家在下載遊戲時與正常程式一起安裝了惡意軟件。值得注意的是，《Chemia》由 Aether…

繼多間航空公司接連遭受網絡攻擊後，澳洲航空公司 Qantas 亦成為最新受害者。Qantas 近日證實，約 570 萬條客戶個人資料因一次網絡攻擊而被竊，而犯下這次案件的，又是近期頻頻得手、組織架構看似鬆散的黑客集團 Scattered Spider 所為，令企業的網絡安全員工非常頭痛。   想知最新科技新聞？立即免費訂閱！ 另外兩航空公司　曾遭同一黑客攻擊 航空業多年來一直是黑客攻擊的主要目標之一，類似事件層出不窮，例如今年夏威夷航空（Hawaiian Airlines）及加拿大西捷航空（WestJet），兩間公司均受到擅長以社交工程作為攻擊起點的黑客集團 Scattered Spider 的攻擊，導致大量客戶數據被竊。 最新的受害者是 Qantas，公司方面表示於 7 月…

隨着 AI 在各行各業應用普及，數碼世界真假邊界越來越模糊。網絡安全解決方案供應商 Check Point 發布首份《AI 安全報告》，深入拆解網絡犯罪分子如何以 AI 技術作為武器，並為網絡安全業界提供一系列防禦建議與實踐策略。 想知最新科技新聞？立即免費訂閱！ 網絡犯罪分子正利用生成式 AI 和大型語言模型（LLM）大規模偽造身分，破壞公眾對數碼身分的信任。網絡用戶已無法單憑表像去判斷網絡上看到或聽到資訊的真偽。AI 驅動的深度偽造技術，甚至可繞過最先進身分驗證機制，令每一個人都有機會成為網絡欺詐的受害者。 Check Point 指出，某些地下犯罪服務組織的技術越發先進，更有迹象顯示「數碼分身」即將崛起。這些 AI 驅動的複製體不但能複製外貌和聲音，更能模仿人類的思想與行為。 四大關鍵威脅： 威脅變化的背後核心，是 AI 高度模仿和操控數碼身分的能力，因而模糊了真實與虛假之間的界線。以下是導致信任瓦解的四個核心領域： ．AI 加強身分冒充及社交工程攻擊：犯罪者利用 AI 生成像真度極高的釣魚郵件、虛假音訊和深度偽造影片。近期更有犯罪者利用 AI…

英國零售巨頭 Marks and Spencer（M&S）確認近日遭受勒索軟件集團攻擊，導致伺服器癱瘓，受影響的包括虛擬機被加密、網上訂貨系統及電子支付系統失靈，200 個貨倉的員工被迫停工。據報導，事故源頭是黑客成功盜取 M&S 的 NTDS.dit 檔案，從而取得權限在內部執行橫向移動及加密虛擬機，令整個集團的營運陷入停頓。 想知最新科技新聞？立即免費訂閱！ 據安全媒體報導，這次 M&S 入侵事件源於 Scattered Spider 勒索軟件集團成員早在今年二月成功竊取 Windows Active Directory 的核心數據庫文件…

有 Google 內部人士透露，Google 正計劃淘汰 Gmail 基於發送一次性 SMS 驗證碼進行多重因素驗證（MFA）的做法，改為產生 QR Code 讓用家在登入帳戶時進行驗證。雖然這種驗證手法亦非萬無一失，但卻可提升黑客向目標騙取或攔截 SMS 驗證碼的難度，減少用家帳戶被騎劫的風險。而且有跡象顯示黑客亦似乎正在順應大勢，開始探索濫用 QR Code 的可能性，用家不得不防。 想知最新科技新聞？立即免費訂閱！ 服務供應商轉用其他手法 過往使用 SMS…

互聯網及社交平台的普及，雖然為大家帶來不少方便，但同時間亦令黑客搜集情報工作變得更加簡單，他們不單可以非常容易地找到有關聯的情報，例如公司使用的基礎設施或應用服務資料，以及人事關係情況，還可借助人工智能替他們進行分析及歸納重點，讓黑客可以更精準地發動網絡或社交工程攻擊。 想知最新科技新聞？立即免費訂閱！ 正所謂「知己知彼、百戰百勝」，搜集情報工作絕非新鮮事，只是過去的做法比較複雜，例如在二戰時期諜報人員已會通過監察電台頻道、報紙去掌握敵國情報，這種通過搜集公開資訊而取得情報的方法被統稱為開源情報（OSINT）。以往網絡安全服務供應商很著重分析 OSINT，因為可以從中了解現時有哪些已知的漏洞存在，又或黑客在地下討論區的熱門話題，安全專家便能及時堵塞漏洞，並加強特定攻擊的防禦力。 不過，近年犯罪份子亦積極利用 OSINT，例如詐騙者會持續監控公共訊息，從社交平台、公共紀錄、公司網站以至新聞稿等，搜集有關目標企業的情報。這些看似無關痛癢的資料，包括職位變動、與哪間服務供應商合作等，都有助犯罪份子拼湊出完整的資料，從而發動針對性的社交工程攻擊。 此外，人工智能進一步改變了 OSINT 的門檻，雖然收集和分析公開數據的過程充滿挑戰，但 AI 能夠提高分析資訊效率，從中發現不起眼的關聯，特別是在預測精確度方面更非人類可以相比，雖然有助增強守方的能力，但同時攻擊者亦能夠利用 AI 進行惡意行為。 首先，攻擊者可以利用 AI 創建高度個性化的魚叉式網絡釣魚攻擊，例如根據公司發佈的新聞稿，試圖瞞騙仍未與新上任管理層完全磨合的財務團隊成員。其次，攻擊者能夠自動化尋找被盜帳戶憑證，並廣泛地在不同應用服務上測試能否登入帳戶。另外，黑客亦可以使用 AI 工具識別供應鏈中的安全漏洞，針對存在漏洞的一方發動攻擊，以去年發生的 MoveIT 檔案共享服務事故為例，勒索軟件集團…

疫情促使企業轉向數碼化的趨勢快速發展，引發網絡安全生態發生數個重大變化。全球步入數碼時代，今時今日的企業需要更多工具、應用程式、存取和連接。另一方面，企業併購、週期性的人員變動、雲端採納持續增加等多種變數，要有效且有效率地為用戶提供相關必要資料的存取權限變得更加複雜困難。 想睇更多專家見解？立即免費訂閱！ 身分數量龐大　僅手動程序難應付 企業面對管理包括員工、承辦商以至機器等數以百萬個身分，而這些身分與大量存取點連接，當中又附連不同的存取權限等級要求，必須審慎管理。要應付如此繁重的工作，企業卻通常僅依賴身分驗證和聯合身份驗證來核實員工的存取權，惟這也缺乏治理監督，未能妥善管理誰有權存取甚麼資料。更令人擔憂的是，有企業仍然依賴手動程序來授予資源存取權限，然而身分數量龐大，手動程序根本無法持續監控、分析及評估風險。 香港企業面對的網絡威脅趨增，去年錄得的企業網絡攻擊報告便有 37 宗，比 2022 年的 24 宗增加 54%；呈報的虧損則從 2022 年的 70 萬港元增至 210 萬港元（268,400美元）。 在此背景下，Verizon 最近的數據顯示，86%…