企業依賴不同網絡安全服務供應商維護，但黑客攻擊一樣都有服務提供！犯罪即服務 (Crime-as-a-Service, CaaS) 是有經驗的網絡犯罪分子，出售對執行網絡犯罪所需的工具和知識，並多見於發動網絡釣魚攻擊。CaaS 可謂是令人人都可以成為攻擊者的途徑！ 對於黑客來說，利用網絡釣魚手法，是竊取組織的數據最簡單方法之一，但一般而言，成功發起網絡釣魚活動的網絡攻擊者，需具備技術和社交工程知識相關經驗。但隨 CaaS 的出現，幾乎任何人都可以通過支付些微費用，搖身一變成為網絡釣魚高手。 CaaS 服務供應商會向業餘攻擊者，提供讓他們能自己成功發動網絡釣魚攻擊所需的一切，包括詳盡的攻擊目標列表、電郵模板等。攻擊者甚至可以支付存取已被入侵的伺服器，以更容易隱藏痕迹，在入侵時的障礙減少，將令網絡釣魚攻擊變得更易，對被針對的目標組織來說將會是很大的難題。CaaS 令網絡釣魚成為一種對網絡犯罪分子而言，更具吸引力的攻擊方法，因為它更易存取資料，兼且勞動力低。當攻擊者可使用現成的網絡釣魚攻擊，來攻擊目標機構的安全漏洞時，就不需花費數月時間尋找漏洞，更可令網絡釣魚活動更容易擴展，換言之犯罪分子執行攻擊所需的時間和精力將減少。 CaaS 具有可下載的模板，令缺乏相關知識的攻擊者同樣可發動攻擊，提升釣魚電郵成功進入企業員工的電郵信箱的機會，例如內容加密、隱藏附件中的 URL 來逃避檢測。由於攻擊者能夠執行大量技術複雜的攻擊，因此對組織的威脅是顯而易見的。最令人企業擔憂的是，這些釣魚活動易於執行且非常有效。 由於使用 CaaS 工具執行的網絡釣魚攻擊大多針對員工，付企業及組織更難解決問題。他們使用社交工程策略來欺騙終端用戶，大多是透過欺騙信任和緊迫性的手段。他們可以使用公開的情報，例如從公司網站、社交媒體資料和過去的數據洩露中收集數據，以製作可信的魚叉式網絡釣魚活動。 在 CaaS…

再有調查發現，愈來愈多黑客利用開源 Python 套件倉庫例如 PyPl 作為散播惡意軟件的工具，所使用的手法包括串字錯誤 (typosquatting)、依賴混淆 (dependency confustion) 或社交工程 (social engineering)，開發者如果隨便下載有問題的套件使用，廣大客戶將會受牽連！ 供應鏈攻擊 (supply chain attack) 是近年黑客愛用的其中一種網絡入侵方法，因為黑客只須入侵開發者的上游服務供應商，之後就可以感染其客戶及用家，性價比極高。供應鏈攻擊可以分兩種類，一種是非法入侵官方伺服器，利用其服務的漏洞發動攻擊，或將惡意軟件替換成官方的更新檔，借助自動更新功能大規模感染下游客戶的電腦設備；另一種則毋須入侵，黑客可以將惡意軟件偽裝成存放於開享資料庫上的共享套件，再靜候獵物上釣，而今次由 JFrog 網絡安全研究員發現的情況就屬於後者。 專家解釋，開源資料庫一般缺乏自動化安全控制功能，未有詳細驗證用家上載的共享檔案是否含有惡意功能，因此如應用服務開發者未有對共享檔案進行安全檢測就使用，便有可能直接將惡意功能引入自家的軟件中，推出後便有很大影響。JFrog 便在知名…

2020 年東京奧運會即使在疫情影響下，所有人都未能入場觀看全球盛事，但仍無阻黑客活動，不受地域所限的網絡世界，隨時帶來無窮商機，美國聯邦調查局 (FBI) 就警告，網絡威脅者可能會針對奧運會發動攻擊，雖然現時尚未發現任何攻擊東京奧運會的活動及相關證據，但都不能掉以輕心。 美國情報部門發布的一份私營行業的通知中提到，聯邦調查局至今未發現針對奧運會的任何具體網絡威脅，但提醒一眾合作夥伴應保持警惕，並在其網絡和數碼環境下保持最高度的防護。正如 FBI 所指，由犯罪分子或由國家支持的威脅參與者，或策劃針對東京夏季奧運會的攻擊，可能涉及DDoS攻擊、勒索軟件、社交工程、網絡釣魚活動或內部威脅等。 由於今年奧運會是第一個按照因疫情，而需要觀眾透過網上平台或電視廣播觀看比賽，所以更有可能吸引惡意攻擊者的額外關注。而他們的攻擊可能會造成賽事直播中斷，而攻擊者在將資料加密前或入侵 IT 系統後，便會洩露敏感數據，影響支撐奧運會的數碼基礎設施，其最終目標很可能是賺錢、散播混亂、增加其「知名度」、詆毀對手等。 而在今年稍早之前，已有 2020 年東京奧組委的數據遭到洩露。FBI 指出，在今年 5 月下旬，日本信息技術設備和服務公司 Fujitsu 披露一宗洩露其多家企業和政府客戶數據的漏洞，包括東京 2020 組委會和日本國土交通省。…

加密貨幣 (cryptocurrency) 炒風熾熱，愈來愈多人參與其中，而要買賣各種加密貨幣，最簡單方法是使用管理 app。網絡安全服務供應商 Sophos 便發現，有黑客集團製作了 150 個以上虛假交易及管理 apps，通過不同手法吸引投資者安裝，從而盜取他們的電子錢包帳戶登入資料。有女投資者便因貪字得個貧，買樓基金一鋪清袋。 要盜取加密貨幣電子錢包帳戶，方法有很多種，比較困難的手法是入侵受害者的電腦，再於電腦的儲存數據內搜尋有關記錄。而今次 Sophos 留意到的手法就簡單得多，專家指黑客會嘗試通過不同途徑，推廣一些管理加密貨幣的手機應用 apps，例如利用社交平台賣廣告、於即時通訊工具內廣發推廣訊息，甚至發動社交工程 (social engineering) 攻擊，先與目標人物建立關係及信心，才引導對方安裝虛假 apps。 為了令目標人物更易上檔，黑客會倣製一些有名氣的手機應用 apps，由版面設計以至使用圖案，均模彷得極度逼真，然後才通過上述方法散播。Sophos 專家經深入調查後，發現當中有超過…

繼 Facebook 和 LinkedIn 連環爆出數據洩漏後，最新爆出目前仍只限 iOS 用戶使用的 Clubhouse 都加入成為洩漏平台！事涉一個存有 130 萬條 Clubhouse 用戶記錄的 SQL 數據庫，而這些資料正在黑客論壇上免費洩漏。 CyberNews 報道指，這個洩漏的數據庫，包含來自 Clubhouse 用戶的個人資料，其中包括：用戶 ID、名稱、相片…

一個黑客組織入侵了安全防護系統初創公司 Verkada 的大約 15 萬個聯網內的監控鏡頭，使他們能夠取得多個組織的實時和存檔影片信號，包括生產設施、醫院、學校、警察部門和監獄，更包括 Tesla。據報道指，黑客主義者 Tillie Kottmann 宣稱是事件負責人之一，向 Bloomberg 披露這次資料入侵行動是一間國際黑客團體所為，目的是為了展示無處不在的視訊監控，以及攻入這些系統輕而易舉。此說法引起爭議，專家正權衡如果安全錄像洩露落入不法分子手中，受害組織可能遭遇的潛在後果。 影片資料洩露可能會導致知識產權盜竊、人身安全威脅、侵犯隱私、敲詐勒索，或許還會受到監管部門的懲罰。更糟糕的是，這些攝像頭採用了面部識別技術，導致了以下問題：攻擊者是否可以真正識別被攝像頭捕捉到的個人，然後將他們作為社交工程（social engineering schemes）或更恐怖計劃的目標。 Bloomberg 查看被盜的 Verkada 影片，包括據指是上海 Tesla 倉庫的裝配線上的工人圖像。不過，Tesla 後來告訴路透社，這段影片實際上是來自供應商在河南省的生產基地，其上海工廠及展示廳未受影響。不過，Kottmann 表示，他們仍能獲取安裝在 Tesla 工廠和倉庫中的 222 個攝錄影像。根據報道，網絡性能公司 Cloudflare 和身份權限管理服務提供商 Okta，被指也在工作場所使用 Verkada 的服務。…

SIM-swapping (SIM card偷換) 攻擊雖然主要在歐美地區發生，但既然愈來愈多港人準備移民，當然要了解一下如何避免成為這種攻擊方法的受害者，特別是去年因 SIM-swapping 導致的損失高達過億美元，當中更有著名 KOL、體壇明星、名人，千萬不能掉以輕心。 所謂 SIM-swapping 攻擊，是一種透過非法手段，從電訊商員工手中騙取其客戶電話號碼使用權的攻擊，例如假扮其客戶訛稱遺失手機，要求電訊商員工將其電話號碼收到的來電、SMS 短訊全部轉接至另一號碼，或重設該客戶的登入密碼等。騙徒亦可以直接賄賂電訊商員工進行上述操作，不過由於被查出的風險較高，所以一般都會以詐騙手法達成。不知道是否因為歐美與亞洲存在的文化差異影響，這類騙案較少在亞洲發生，而歐美等地則非常猖獗。如想了解為何能夠輕易騙取電訊商員工更改號碼，可以參考以下社交工程 (social engineering) 攻擊的經典示範。 https://www.youtube.com/embed/BEHl2lAuWCk?wmode=transparent&rel=0&feature=oembed 騙取到電話號碼使用權後，如騙徒手上已持有該客戶的一些帳戶登入資料 (如銀行或 Facebook 帳戶)，而又需要額外 SMS…

騙子發疫症財不是新鮮事，但是疫情一日未完，只怕不法分子仍然會利用群眾的恐慌，繼續製造謠言呃錢。最近承著疫苗推出，英國出現不少與疫苗有關的電郵，誘騙民眾輸入個人資料，身在香港的我們，也要留神會否有相同情況出現，下文將介紹各種隨疫症而出現的虛假訊息。 早於去年 12 月，國際刑警組織已發出警告指，未來幾個月內將出現大量與 COVID-19 相關的欺詐和網絡罪案，呼籲執法機構作好準備，該組織秘書長 Jürgen Stock 提到，這些不法分子會利用虛假網站和虛假療法，瞄準毫無戒心的民眾，結果或對他們的健康、甚至生命造成重大威脅。而發出警告後的四星期，民眾與及疫苗供應鏈首當其衝成為罪犯的目標。 假冒產品 有假冒疫苗正在網上發售，令人最為擔憂。Check Point研究人員發現與 Dark Web 相連的論壇帖文中，包含「冠狀病毒疫苗」和「冠狀病毒療法」字眼，內有供應商聲稱可以使用未標明品牌的 COVID-19 疫苗，索價達 300 美元的加密貨幣。Check Point…

雖說現時Apple的iOS 14及Google的Android 11作業系統，已大大增加應用軟件取用手機功能的權限透明度，甚至可讓用家逐次授予使用權。不過，面對著一些合理地取用全球定位功能、卻不合理地使用資訊的app，如用家未有留意細則或用法，便有可能洩露自己的行蹤。最新的例子是不少港人都有使用的運動記錄app Strava，預設功能可讓擦身而過的用家閱覽你的個人資料及經常出沒的運動地點，遇著立心不良的匪徒，隨時有人身安全危機！ 作為一隻運動記錄應用軟件，Strava在安裝時，要求取得定位權限，合理至極；而且相信絕大部分用家，為免每次使用app時都要重新授權，都會選擇長期開放取用位置權限，減少麻煩。不過，其中一位Strava用家Seward在Twitter上透露，當他完成一次跑步記錄後，竟發現記錄內tag了一位當日曾與他擦身而過的女跑手，Seward甚至可以細閱這位女跑手的Strava帳戶資料及運動記錄。經深入調查後，Seward發現原來Strava app預設的私隱分享功能非常「無私」，個人資料、運動記錄、團體活動等都設定為可供任何人查閱，而當中Flyby功能便是今次事件的元兇，因為開啟後，系統便會與附近的用家分享運動及位置記錄。雖然這功能用在正途上，或可組織該區的運動愛好者一起訓練，但卻同時洩露了過多個人資訊，包括經常出沒位置及所使用的運動手錶等，匪徒便有可能在路上埋伏，又或借助詳細的個人資料，發動社交工程(Social Engineering)攻擊。 事件經報導後，Strava即時出面澄清，並表示會通知所有用家有關修改這項私隱設定的方法。用家如希望關閉這項功能，可登入Strava官網，在設定中點選Privacy Control，於Flyby點選「No One」便可。用家亦可同時修改其他私隱設定，例如只跟朋友分享資訊或運動記錄，減少不必要的危險。 資料來源：https://bit.ly/3361ZL2

上月多個名人如 Bill Gates、Elon Musk 嘅 Twitter 帳戶被黑客入侵，於平台騙取 Bitcoin，成功騙取約11萬美元 Bitcoin。的而且確，奪取到原帳戶再向受害人身邊嘅親友落手，成功率會較高，但複製帳戶呢種極度簡單嘅方法，都會有人上釣。曾因利用社交工程（Social Engineering）手法進行詐騙而入獄，後來改邪歸正嘅網絡安全專家 Jake Moore 就親身示範，只須複製目標人物嘅帳戶，都可令對方嘅朋友信以為真，乖乖過數！ Jake 原本嘅 Instagram 帳戶有 1,611 個 posts，同時有…