做咗資安專家咁多年，經驗話俾我知，一間公司無論做咗幾多網絡保安措施同買咗幾多防毒軟硬件，最尾都有可能係衰喺員工手上！最近 Proofpoint 出咗份報告就係最佳例證，喺過去 18 個月入面，專家發現超過 99% 含間諜軟件嘅電郵，都係全靠員工打開先會成功㗎咋！ Proofpoint 專家 Chris Dawson 指出，而家黑客嘅入侵已經唔係以前漁翁撤網咁，而係針對性有目標咁做，例如見到近年好多公司都轉晒用雲端服務，所以黑客就順勢用電郵「分享」Office 365 同埋 Dropbox 嘅連結。Chris 雖然好多人都留意到寄件人好生面口，但係因為成日開慣呢類雲端網站連結，潛意識都係會撳落去先，於是就係咁中招。 公司咁大，邊類員工先係最易中招目標呢？Chris 就話好多人以為管理層先係黑客目標，因為佢哋掌管公司咁多資料，被入侵嘅價值自然高啲；但研究發現只得 7% 入侵個案係針對佢哋，反而有 36%…

唔好講咁多，即刻掹咗張 SIM 卡出嚟先，因為最新發現嘅呢個漏洞，正影響緊全球 10 億以上流動網絡用家，黑客只要發出一個含有惡意代碼嘅 SMS，就可以發動 SIMjacker 攻擊，喺你部裝置上面執行惡意程式，暗中控制你部裝置，包括打電話、發送假訊息、報告位置、傳輸數據、停用 SIM 卡，甚至執行其他惡意指令。由於漏洞存在喺 SIM 卡上，所以無論你用邊款手機，以及各種可以插 SIM 卡上網嘅裝置，例如平板電腦、IoT 裝置，統統走唔甩，而且暫時係完全無修補方案，你話除咗掹 SIM 卡靠 Wi-Fi 上網之外，仲可以點做呢？ 呢個核彈級…

雖然由細個開始，阿爸阿媽已經成日教你便宜莫貪，但而家諗返轉頭，咁耐以嚟你因為貪心而中過幾多次伏？肯定唔會少啦，所以用現金回贈或折扣優惠嚟做魚餌嘅手法，先至可以長做長有。 冒牌都要專業 最近網絡安全研究員 nao_sec 就發現，勒索軟件 Nemty 嘅變種最近開始活躍，透過 RIG EK 漏洞利用工具包，喺下載者嘅電腦上安裝惡意軟件，誘導佢哋去到虛假 PayPal 網站，然後再話只要下載及使用專用軟件，每次交易就會回贈返 3 至 5% 金額。研究員嘗試打開下載嘅 cashback.exe 執行檔，結果發現佢會將受害者電腦內嘅檔案上鎖，並要求交出約 7,800 港元贖款作為解鎖費。雖然另一位研究員…

驚住仔女、年長父母、寵物走失，所以買個 GPS 追蹤器俾佢哋，原意係好，但如果罪犯都睇到佢哋嘅位置，係咪仲唔安樂？ 網絡安全軟件公司 Avast 研究員 Martin Hron 發現，估計喺 Amazon 上發售、價錢介乎港幣 200 至 400 蚊嘅 GPS 追蹤器材當中，有大約 60 萬部存在安全漏洞，可以俾罪犯掌握佩戴者嘅即時位置、暗中啟動收音咪，甚至篡改衛星定位位置，令用家誤以為佩戴者喺「安全」地方活動。 Martin 特別指出一系列由 Shenzhen…

要俾獎金之餘，仲要俾人四圍話唱旗下產品有漏洞，最慘嗰個仲係死對頭，唔火就假。Apple 終於忍唔住發聲，個漏洞主要針對維吾爾族人攻擊！ Google Project Zero 呢期巧威威，一口氣搵出 Apple 14 個 iOS 系統漏洞，部分更加係超級漏洞，一睇被加料網站就中招，將系統嘅最高權限拱手讓俾黑客，裝置內嘅所有檔案都可隨意拎走，甚至睇埋 WhatsApp、Telegram 嘅訊息，一時之間公眾對 Apple 嘅信任度大插水。 面對住 Android 系統開發商嘅報告，Apple 罕有咁發聲明回應，內容首先就話 Google…

雲端應用雖然已大行其道，不過，不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示，發展成熟的企業當中，只得 27% 認為公共雲（Public Cloud）有足夠的網絡安全功能。而整個亞洲區的企業中，有 73% 受訪者認為資料外洩是無可避免，這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力，可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限，可有效阻止未獲授權的員工接觸重要的文件或作業；不過，如登入帳戶資料被盜取，黑客一樣可以登入雲端應用竊取資料，所以企業亦應考慮採用多重因素認證（Multi-Factor Authentication）機制，例如以 USB、藍牙硬體鎖作為 Security key，員工登入帳戶時必須持有這硬體鎖，這樣即使登入名稱及密碼外洩，黑客亦無法登入帳戶，減少公司機密資料被盜取的風險。 另一方面，雖然公共雲供應商有提供網絡安全措施，但客戶並不能單純依靠對方的防護，因為客戶本身存有分擔責任（shared responsibility），必須採取足夠的手段去保護儲存在雲端的資料，否則亦難以追討賠償。而要確保數據安全，最好便是選用加密技術，例如 tokenisation 或 cyptographic 等工具，將數據亂碼化或以金鑰作保護，即使數據被盜用，或於轉送中褒被攔截，黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段，但在今次調查報告中，企業的採用率都不高，前者少於 50%，後者更少於 20%。隨著全球各地陸續立法管制數據安全，資料外洩已不單只會影響商譽，更有可能為企業帶來災難性的金錢賠償，要避免企業營運陷入困境，由今日開始，就要立即採取措施，守好雲端上的數據。 （article sponsored by Edvance)

講咗咁耐個人私隱有幾咁重要，特別係涉及生物特徵嘅資料千祈唔好咁易交出嚟，但原來真係唔會令大家驚㗎！玩 key 樣 app 玩到要准許對方點用你上載嘅自拍相都得？Sorry 真係無可能囉！ 好多人都鍾意玩美圖、改圖 app，淨係睇下之前社交平台成日俾啲交換人樣、男變女女變男、變老變後生嘅相洗版，就知大家有幾熱衷變臉。最近有一款 key 樣 app 就係內地嘅 App Store 爆紅，呢款叫做 ZAO 嘅 app，好玩之處係只要影一張自拍相，佢就可以將你個樣 key 入一啲電影或電視嘅角色上，例如《權力遊戲》、《鐵達尼》等，而且根據…

當網絡安全公司 Check Point 今年三月舉報呢幾間公司嘅手機有漏洞，有兩間好快就推出修補檔，而華為就「計劃」喺下一代手機再修補，Sony 仲勁，直頭回應話已跟足指引毋須改善添，大家買手機識揀啦！ SMS訊息設定手機傳輸 今次 Check Point 安全專家發現嘅漏洞到底係乜嘢嚟？原來係同 OMA CP 訊息有關。OMA CP 即係 Open Mobile Alliance Client Provisioning，係一種俾網絡供應商推送通訊設定嘅單向訊息，等手機可以用嚟發送圖片、電子郵件或傳輸數據，所以每次用新手機接駁網絡供應商，又或有新嘅網絡設定，網絡供應商都有需要發出呢種訊息，一旦黑客可以假扮供應商發出訊息，用家又同意安裝，黑客就可以通過改動手機嘅傳輸設定，將用家嘅電訊、網絡連接引導去惡意伺服器。…

講咗咁耐個人私隱有幾咁重要，特別係涉及生物特徵嘅資料千祈唔好咁易交出嚟，但原來真係唔會令大家驚㗎！玩 key 樣 app 玩到要准許對方點用你上載嘅自拍相都得？Sorry 真係無可能囉！ 好多人都鍾意玩美圖、改圖 app，淨係睇下之前社交平台成日俾啲交換人樣、男變女女變男、變老變後生嘅相洗版，就知大家有幾熱衷變臉。最近有一款 key 樣 app 就係內地嘅 App Store 爆紅，呢款叫做 ZAO 嘅 app，好玩之處係只要影一張自拍相，佢就可以將你個樣 key 入一啲電影或電視嘅角色上，例如《權力遊戲》、《鐵達尼》等，而且根據…

單係電話騙案已經好難防備，如果再加埋人工智能嚟扮聲扮口音，中招風險肯肯定大增。以為好難攞到你把聲？少年，你太年輕了。 而家最多人討論嘅欺詐科技，一定係 Deepfake 技術，透過 AI 模擬技術，就可以令浸浸、朱克伯格等名人，喺影片中講出你想佢講嘅說話，要製造災難性假新聞真係一啲都唔難，跟車太貼嘅個案亦只會愈嚟愈多。不過，現階段模擬像真度都仲有啲瑕疵，小心留意絕對可以發現唔自然嘅地方。 語音分析提升像真度 如果唔睇畫面，淨係聽聲又如何？相信會仲多人中招。好似今年三月英國一間能源公司嘅 CEO，就因為收到德國母公司上司一通電話，就將 200 萬港幣轉咗去匈牙利供應商嘅戶口。呢個 CEO 事後話騙徒唔單只把聲同佢上司一模一樣，而且仲連語氣、口音都無分別，所以就咁上當，如果唔係對方幾分鐘內又再要求過數令佢起疑，隨時會二次中招添。 欺詐案調查專家 Rudiger Kirsch 喺收到承保嘅保險公司委托，經調查後發現今次唔單只係一般電話騙案，仲係加入咗人工智能元素。由於保險公司從未處理過同 AI 有關嘅個案，所以先搵佢幫手。佢話自己都測試過一啲黑客用嚟模擬語音嘅軟件，像真度極高，而且唔難買到，所以預期呢類騙案會大幅增加。 其實上年網絡安全公司…