聖誕節就快到，相信大家都開始上網搜尋合心水的禮物。但最近有網絡安全公司就發現，一個名為 SilkSpecter 的中國黑客集團正進行大規模的網上詐騙行動。雖然他們主要針對歐美市場的網民，但其實黑客所使用的知名品牌如 The North Face、IKEA 等等都是香港人熟悉的名字，所以只要黑客稍為修改假冒網站語言為繁體中文，同樣可以用來欺騙港人。 想知最新科技新聞？立即免費訂閱！ 根據 EclecticlQ 網絡安全專家的調查，黑客集團已經建立了接近五千個假冒知名品牌的購物網站。這個犯罪集團特別於聖誕及黑色星期五購物季節前夕，精心設計了一連串的假冒網站。黑客在網域名稱中加入「Black Friday」等字眼，透過提供極具吸引力的折扣優惠來引誘消費者。 這些假冒網站的設計相當專業，不單止外觀與正版品牌網站極為相似，更採用了 Stripe 等知名支付平台來增加可信度，黑客在透過支付平台盜取受害者的金錢之外，還會將信用卡資料傳送到黑客的控制中心。 黑客建立 The North Face 假冒網站…

全球擁有 4 億用家的網站管理平台 WordPress 再被爆出安全漏洞，發現漏洞的安全研究機構 Wordfence 更指這個漏洞的嚴重性在其成立 12 年的歷史中屬最罕見案例，因為它允許黑客遙距發動攻擊，可輕易獲得受影響網站的完全管理權限。現時約有 350 萬個網站可能暴露在這次安全漏洞之下，網站管理員必須即時檢查有否受影響並更新版本，才能阻止黑客入侵。 想知最新科技新聞？立即免費訂閱！ 官方插件出現嚴重身份驗證漏洞 這次安全事故的兆因出在 WordPress 的官方插件 Really Simple Security（前身為「Really Simple SSL」）之上，研究員發現在 9.0.0…

不少網站都會使用 WordPress 平台製作及管理網站，但有雲端服務供應商就發現，近來兩個有關連的黑客組織 Clearfake 及 Clickfix 已成功入侵 6000 個 WordPress 帳戶，並在網站的 HTML 碼中偷偷加入惡意功能，只要有人訪問網站，就會彈出虛假的錯誤及修復訊息建議，誘導網民安裝資訊盜竊器。雖然需要網民手動執行多個步驟，未必容易成功，但專家亦強調網站管理員必須小心提防中招。 想知最新科技新聞？立即免費訂閱！ WordPress 一直是黑客的熱門攻擊對象，因為使用其服務的企業或個人用家極多，而憑著擁有大量功能插件，WordPress 亦成為最多人使用的網站管理平台之一。根據官方最新公布的數字，全球約有 4.78 億個網站都是使用其平台建立及管理，在所有網站中佔 43.5%，有如此龐大的用戶群及影響力，難怪會成為黑客頭號攻擊目標，過往就有不少網絡攻擊事件發生，當中以盜取管理員身份憑證、編寫帶有惡意功能的插件，以及濫用平台或插件的零日或已知漏洞佔最多數。…

市民注意！食物安全中心（下稱食安中心）發聲明，指有騙徒冒認食安中心 facebook 專頁及帳戶，並透過留言區聯繫活動參加者，誘使參加者提供個人資料，呼籲市民保持警覺，並建議曾向假帳戶提供資料的人士考慮報警求助。 想知最新科技新聞？立即免費訂閱！ 食安中心於其 facebook 專頁以「重要聲明　提防詐騙及假冒信息」為題，指出近日發現有假冒的 facebook 專頁或賬戶，於其專頁帖文下留言，以及貼出可疑的網頁連結，藉此聯繫「食安有嘢送 – 開學套裝篇」活動參加者，涉嫌誘使他們提供個人資料或點撃連結。 食安中心指出，其 facebook 專頁「食物安全中心 Centre for Food Safety」正確連結為www.facebook.com/cfs.hk，而網頁為www.cfs.gov.hk，強調不會於帖文的留言欄，要求參與活動的市民點擊任何外部連結，或以任何形式要求參加者提供銀行或信用卡資料，又指該偽冒帳戶及網頁涉嫌盜用食安中心之標記，並用於其帳戶頭像和網頁上。 事件已轉交警方調查，食安中心提醒市民要小心分辨網上資訊的真偽，切勿點擊來歷不明的連結，建議曾向假帳戶或透過相關連結提供個人資料的人士考慮報警求助。如有查詢或需要確認專頁和網站的真確性，可致電中心熱線 2868…

美國著名牛仔褲製造商 Levi’s 成為網絡攻擊的受害者，上星期公司向各州檢察長提交安全事故報告，承認於本月 13 日遭受黑客的憑證填充攻擊，導致超過 72,231 位顧客的私隱資料外洩。不過，官方未有回應會否向受害客戶提供身份監察服務，似乎罔顧了客戶的安全風險。 想知最新科技新聞？立即免費訂閱！ 憑證填充攻擊（Credential Stuffing）的原理是黑客從暗網等地方購買一些外洩事故中的公司帳戶登入資料，利用受害人重複使用相同密碼的習慣，黑客會使用這些被盜取的帳號密碼組合，大規模嘗試登錄同一公司的其他帳戶。為了提升效率，黑客更會操控殭屍網絡（Botnet）大軍實現自動化攻擊。由於入侵難度及所需技術較低，因而廣受黑客歡迎。 根據 Levi’s 提交的報告顯示，黑客便是利用這種方式入侵公司帳戶，並獲取了包括客戶姓名、電郵地址、送貨地址和訂單記錄等私隱資料，而如果客戶在購買時選擇保存支付的信用卡資料，信用卡後四位數字、卡種和有效日期亦有機會被竊取。 雖然官方指目前未有證據顯示這批資料已被濫用，但公司已即時採取措施回應，例如通知受影響客戶須重置密碼，又建議客戶應即時重設其他採用了相同密碼的網上帳戶，以保障不會被黑客使用相同手法入侵。有傳媒向 Levi’s 查詢除了以上補救措施，是否會向受影響客戶提供身份監察服務，不過官方就未有正面回應。 相信不少人都曾聽過身份監察服務（Iidentity Monitoring Service），而事實上大部分人亦正在享用同類型服務而不自知，當中 Google、Microsoft…

自動化滲透測試借助各種工具和軟件來模擬對公司系統進行網路攻擊，並評估網絡的安全性。這些工具能自動執行諸如漏洞掃描、漏洞特徵識別、源碼審計等多種功能，從而迅速識別系統中的安全隱患。 想睇更多專家見解？立即免費訂閱！ 然而，自動化滲透測試也存在某些局限性。首先，自動化工具的精確度可能遜於手動測試，特別是在應對複雜的安全漏洞。其次，自動化測試可能缺乏手動測試的靈活性，難以根據特定場景或需求進行定制化測試。此外，自動化工具可能會產生大量誤報，需要安全人員進一步分析和驗證。 儘管自動化滲透測試在快速評估系統安全性方面具有一定優勢，但在面對複雜的企業環境和深度安全測試需求時，仍需依賴手動滲透測試對目標網絡進行深入分析，揭示複雜的業務邏輯漏洞、邏輯缺陷或其他安全性漏洞。當然，手動測試所需要花費的時間、資源和專業知識，會使其成本比自動化分析高。而在實際應用中，可以將自動化滲透測試和手動滲透測試相結合，相互補充，以提供更全面、準確的安全評估結果。 因此，學習手動滲透測試技術至關重要。它能深入剖析複雜系統漏洞，並根據特定商業邏輯進行獨立分析，更全面地瞭解系統安全架構，識別並修復潛在風險，為企業築牢安全防線。同時，這也是提升個人技能水準和職場競爭力的關鍵途徑。掌握網絡安全技能，將有助於在資訊安全領域取得更好的職業發展。 持續進修是資訊安全領域中不可或缺的一部分。欲想學習更多有關尋找網站伺服器漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。 作者：Kinsey NG香港資訊科技學院（HKIIT）網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景，提供校內與企業網絡安全培訓。 唔想成為下一個騙案受害人？ 網絡安全公司 Green Radar 聯同 wepro180 最新推出《網安 2 分鐘》，一系列影片助你自學網絡安全招數，遠離詐騙，安全意識輕鬆 Level Up！立即去片：https://www.wepro180.com/cybersafety/

SEO，全稱搜索引擎優化（Search Engine Optimization），是一種通過優化網站的結構和內容，提高網站在搜索引擎中的排名，進而提升網站流量的有效方式。搜索引擎使用複雜的演算法來確定網頁的排名，其中一個重要的因素是反向連結（Backlink），也就是其他網站指向您網站的連結。搜索引擎認為，如果眾多高權威的網站（如政府、大型機構網站）連結到您的網站，那麼您的網站可能提供有價值的內容，因此應該在搜索結果中獲得較高的排名。 想睇更多專家見解？立即免費訂閱！ 然而，有些網站經營者為了追求短期的排名提升，不惜採用黑帽 SEO 的手法。黑帽 SEO 利用搜索引擎的排名原理，通過增加指向特定網頁的反向連結數量來誤導搜索引擎，試圖製造出一種該網頁內容具有高度重要性和權威性的假像。其中，黑帽連結便是一種重要的黑帽 SEO 手段。 而入侵網站是常見的手段去建立黑帽連結。黑客會從高排名的網站中尋找安全性漏洞，通過這些漏洞入侵網站，並在其中植入指向目標網站的連結，從而短期內帶來網站排名的顯著提升。這種做法不僅違反了搜索引擎的規則，而且會對被入侵網站的聲譽和用戶體驗造成嚴重影響。 為確保網站的安全和正常運行，網站經營者需要定期進行網站文件和代碼的檢查。在檢查過程中，要特別留意網站伺服器是否有未知的文件或代碼片段存在，這些很可能是網站被入侵留下的痕跡。此外，手動檢查每個頁面，尤其是那些具有高流量的頁面。通過仔細檢查，我們可以發現並清除任何隱藏的連結或不尋常的內容，從而確保網站的清潔和安全。 同時，學習尋找網站漏洞並及時發現與修補可能存在的安全問題也十分重要，以避免因網站存在漏洞而被人利用。欲想學習更多有關尋找網站漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。 作者：Kinsey NG香港資訊科技學院（HKIIT）網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景，提供校內與企業網絡安全培訓。 唔想成為下一個騙案受害人？ 網絡安全公司Green Radar聯同…

著名電腦製造商 Dell 向客戶發出通告，指由於公司一個網站遭受黑客入侵及發生數據外洩事故，導致約 4,900 萬客戶的個人私隱訊息外洩。Dell 雖然承認部分客戶數據已被放上暗網出售，但卻指受影響客戶面臨的網絡風險並不大，似乎企圖淡化事件。 想知最新科技新聞？立即免費訂閱！ 可藉此發動社交工程攻擊 早前有專門監察暗網消息的安全專家發現，一個名為 Menelik 的會員試圖在 Breach Forums 外洩資料市場上出售 Dell 的數據包，他更表示數據包內含有在 2017 年至 2024 年期間的資料數據。其後…

網站作為企業與外界溝通交流的重要橋樑，承載著大量的敏感資訊和使用者資料。然而，與此同時，網路安全威脅也層出不窮，資料洩露事件時有發生，給企業和個人帶來了巨大的風險和潛在損失。本文將介紹兩種快速檢查網站資料洩露風險的方法，包括檢查網站後門檔案、查看伺服器日誌異常記錄。這些方法能夠幫助網站管理員及時發現並應對潛在的安全風險。 想睇更多專家見解？立即免費訂閱！ 方法一：檢查網站是否存在後門檔案 後門檔案通常是黑客為了再次入侵或控制網站而留下的文件。您可以通過檢查網站伺服器上的目錄，例如查看網站根目錄、主題目錄、外掛程式目錄等地方，查找是否存在異常的檔案或程式碼。您可以使用網站管理後台進行查看和對比原始版本的網站源碼。如果發現可疑檔案，建議立即進行審查並刪除。 方法二：檢查伺服器日誌是否存在異常記錄 伺服器日誌記錄了網站運行的各種資訊，包括使用者連接、系統錯誤、安全事件等。通過查看伺服器日誌，您可以發現是否有異常的連接或攻擊記錄。透過查看安全相關的日誌，如訪問日誌、錯誤日誌和安全性記錄檔。舉例說，如果發現大量來自同一 IP 位址的請求、或是從未知 IP 的未授權訪問或異常的錯誤資訊，可能意味著網站遭受了攻擊或存在資料洩露的風險。 網站程式會因業務需要存放大量資料。敏感資料外泄因而很多時候與網站漏洞有關，檢查這些漏洞並修復它們，對於保障網站資料安全至關重要。但要注意的是，這些方法只能提供初步的資料洩露風險檢查，並不能完全保證網站的安全性。為確保網站資料的安全，建議定期進行全面的安全檢測和風險評估，並學習發現與修復網站漏洞。 此外，為了進一步提升網站的安全性，建議採取以下措施： 1. 定期更新和升級網站及伺服器軟件，確保使用最新版本，以修復已知的安全性漏洞。 2. 使用複雜的密碼，並定期更換密碼，避免使用容易猜測的密碼。 3. 限制對網站敏感區域的存取權限，確保只有授權的用戶才能訪問敏感性資料和功能。 4. 部署防火牆和安全防護軟硬件，阻止惡意攻擊。…

繼機電工程署後，又一政府部門出現網絡安全漏洞！公司註冊處上月披露「電子服務網站」電子查冊系統出現個人資料外洩風險，處方日前（3 日）表示系統已完成維修，證實有 11 萬人的個人資料外洩，私隱專員公署已即時展開調查，資科辦亦要求各政府部門檢視保安措施。 想知最新科技新聞？立即免費訂閱！ 系統出現 3 漏洞致資料外洩 公司註冊處在上月 19 日公布，例行檢查時發現其電子服務網站內的電子查冊系統出現個人資料外洩風險，需要進行緊急維修，並暫停電子查冊服務。事隔兩星期，處方表示電子服務網站已完成緊急維修，堵塞了資料進一步外洩的風險，並已完成調查工作。 調查結果顯示，承辦商在設計系統時，除了提供查冊相關資料，還將額外個人資料傳輸到客戶端電腦。雖然這些額外資料並不會顯示在查冊結果頁面上，但如果查冊者在查冊結果頁面上，利用開發者工具（Web developer tool）或編寫程式（robotic search）查閱資料，便會取得額外的個人資料。公司註冊處在調查中亦發現，以電子方式提交持牌放債人委任第三方的通知書時，也曾出現同樣情況。 公司註冊處向受影響人士致歉 處方表示，是次事件約 11 萬人受影響，外洩資料包括姓名、完整護照號碼、完整身分證號碼、通常住址、電話號碼及電郵。處方稱已分批通知相關資料當事人，向他們解釋有關情況和致歉，又指出正徵詢個人資料私隱專員公署和政府資訊科技總監辦公室的意見，全面檢視事件及進一步加強保障個人資料的措施，以防止同類事件發生。 對於政府部門接二連三出現資訊保安事故，政府資訊科技總監辦公室在社交平台表示高度關注，資科辦已再次向所有決策局及部門首長發出清晰指示，要求部門全面檢視現有資訊保安措施，同時提醒其轄下所有系統和用戶必須嚴格遵守政府資訊保安規例、政策及指引處理敏感及個人資料，不可儲存於公有雲平台上，並要求部門在一星期內向資科辦回覆。…