一方面，遠程工作、IoTs、網民秒秒遞增；各路黑客的交流平台由 Dark Web 擴展到 Clubhouse 等不同社交平台；裝置網速工具急速演化；雲端、Hybrid Cloud、Edge Platforms 將數據進一步集中，唯獨法規與執法效率追不上時代步伐，國家隊黑客卻諷刺地例外。事實上，企業在資安上一向都靠自己，但在 COVID-19 後擔子史無前例重，2020 年末 Solarwinds 中伏，向其近 2 萬客戶無料放送 Sunburst Malware，幾多人受影響未知，但美國國務院、國防部、軍火供應商、重要電訊商與大學院校均在名單之上，美國政府矛頭指向俄羅斯，是否開打網戰大家不妨買花生，但我們先談談企業資安部署困境。如果這宗事件仍未夠警世，Cybersecutiry Ventures 報告指…

SIM-swapping (SIM card偷換) 攻擊雖然主要在歐美地區發生，但既然愈來愈多港人準備移民，當然要了解一下如何避免成為這種攻擊方法的受害者，特別是去年因 SIM-swapping 導致的損失高達過億美元，當中更有著名 KOL、體壇明星、名人，千萬不能掉以輕心。 所謂 SIM-swapping 攻擊，是一種透過非法手段，從電訊商員工手中騙取其客戶電話號碼使用權的攻擊，例如假扮其客戶訛稱遺失手機，要求電訊商員工將其電話號碼收到的來電、SMS 短訊全部轉接至另一號碼，或重設該客戶的登入密碼等。騙徒亦可以直接賄賂電訊商員工進行上述操作，不過由於被查出的風險較高，所以一般都會以詐騙手法達成。不知道是否因為歐美與亞洲存在的文化差異影響，這類騙案較少在亞洲發生，而歐美等地則非常猖獗。如想了解為何能夠輕易騙取電訊商員工更改號碼，可以參考以下社交工程 (social engineering) 攻擊的經典示範。 https://www.youtube.com/embed/BEHl2lAuWCk?wmode=transparent&rel=0&feature=oembed 騙取到電話號碼使用權後，如騙徒手上已持有該客戶的一些帳戶登入資料 (如銀行或 Facebook 帳戶)，而又需要額外 SMS…

今時今日，打仗未必一定要先出動飛機大炮，單是網絡攻擊，已經可以癱瘓一個國家的運作及情報網絡，掃除進擊的障礙物。例如美國佛羅里達州一個市鎮的輸水系統最近就被黑客入侵，黑客試圖將用作調節食水酸鹼度的化學物混合量，調高約 110 倍，如果無及時阻止，15,000 個市民就大件事喇…… 工業控制系統（Industrial Control System, ICS）掌管國家命脈，以發電網、輸水系統、運輸網絡、核電廠等設施為例，背後都必須有 ICS 管理，所以這些重要設施自然會成為攻擊目標，只要斷水斷電，國家就會陷入一片混亂及恐慌，例如烏克蘭 2016 年全國大停電 7 日，據外界估計就是受到俄羅斯國家級黑客襲擊。而今次發生在佛羅里達州 Oldsmar 市輸水廠的入侵事件，暫時未知黑客的身份及意圖，只知道黑客嘗試將混入食水調節酸鹼度的化學物氫氧化鈉的份量，由每 100 萬單位含 100，調升至 11,100，足足達…

美國總統 Donald Trump 下令情報機關及五角大廈，於 180 日內交出一切有關不明飛行物體 (UFO) 的報告。大家在這段期間要儲存花生之餘，更要小心防範所有跟這份報告有關的訊息、檔案及連結，否則好奇心害死的下一隻貓，隨時會是你。 上年 12 月美國總統 Donald Trump 簽署新冠肺炎及政府資金法案，當中一項《2021 年情報授權法》內，就規定美國情報機構CIA及五角大廈需於 180 日內，就 UFO 所搜集的資料撰寫報告並提交國會，全球 UFO、外星人協會即時起哄，熱切期待「還我公道」的時刻來臨。即使不是外星迷，相信一般人也會對報告大感興趣。…

2020 年比特幣以及虛擬貨幣可算是特別的一年，幾年前首次代幣發行 (ICO) 的爆破，接踵而來的是去中心化金融 (Defi) 的興起，而上年美國上市公司微策略 (MicroStrategy) 大手買入比特幣，持倉量超越美國政府，投資總額超過 10 億，MicroStrategy 的股價亦一飛沖天。大勢所趨，虛擬貨幣以比特幣為首已經成為資產類別一部分，很多家庭基金以及機構投資者已經開始及計劃配置資產於虛擬貨幣上。但可惜的是，虛擬貨幣對於這些機構投資者而言，是一樣比較新的東西，要確立虛擬貨幣本身的擁有權，對於機構投資者已經是一大難題，所以對著這些虛擬貨幣，好多機構投資者都是有心無力。退而求其次，這些投資者會選擇買如 MicroStrategy 這樣的概念公司或相關挖礦的公司。 市場上都有投資虛擬貨幣相關的衍生產品，例如是芝加哥商業交易所上市的比特幣期貨，但對於一般大眾投資者而言，期貨是小眾的活動，所以都是以專業投資者為主。一般大眾投資者選擇的是購買 Grayscale 的虛擬貨幣信託基金，道理就是你買信託基金的單位，而信託基金就代你買相對的虛擬貨幣。這些信託基金對大眾參與虛擬貨幣市場、是一個極大的幫助，只要你有證券戶口就可以作買賣，不需要開設虛擬貨幣戶口，不需要解決重新入金的問題。 但是信託基金最大的問題就是基金架構，因為監管問題美國證監會未有批准成立 ETF（指數基金）型的基金形式，今天 Grayscale 用的還是信託基金形式。ETF…

以色列公司 Cellebrite 以出售電腦、智能手機的破解工具聞名，不少國家的執法機關都會購買工具，應用於調查方面，即使被調查人士不肯交出開機密碼，執法人員仍可強行進入系統搜證。不過，這些「國家級」調查工具，最近竟被美國的學校暗中採購，莫非有特殊監控用途？ 可能大家對 Cellebrite 會感到陌生，它其實是一間以提供手機資料轉移及手機數據破解為主要服務的公司，而 Cellebrite 自家開發的解碼神器 Universal Forensic Extraction Device（UFED）備受各國執法機關及特務機構讚賞，因為它可破解超過兩萬款不同品牌、型號的智能手機。以iPhone為例，它便可強行進入系統，讀取內裏的通話記錄、短訊內容、聯絡人、相片及位置等資料，不過，由於 Apple 定期推出系統更新，所以 Cellebrite 所能破解的 iPhone 會稍稍落後，直至被其研究員發現系統或硬件漏洞為止。 而根據外國科技網站 Gizmodo…

透過人工智能技術編輯影片、相片或聲音檔案，達到以假亂真嘅 Deepfake 技術，由於效果實在太逼真，容易喺社會上散布虛假訊息，所以一直係全球政府及社交平台首要解決嘅問題。特別係美國總統大選在即，呢啲虛假訊息隨時可以令選情逆轉添！就喺呢個時候，Microsoft 宣布推出一套可以偵測 Deepfake 內容嘅工具 Microsoft Video Authenticator，借助人工智能去分析影片或相片中嘅瑕玼，再提供可信度俾用家自行判斷內容真偽，絕對有助打擊虛假訊息嘅散播。 點解 Deepfake 技術咁得人驚？因為佢都係利用人工智能深度學習嚟製造虛假內容嘅技術，一方面人工智能會自行產生愈嚟愈精細嘅內容，同時間另一組人工智能就會愈嚟愈精準咁識破虛假內容，喺兩套人工智能嘅競賽下，虛假內容自然愈嚟愈像真，好多時肉眼已分唔到真假。而 Microsoft 呢套工具，亦同樣使用人工智能技術，用咗 FaceForensics++公開嘅 1000 組 Deepfake 資料庫以及 Facebook…

自美國 Black Lives Matter 的種族抗議運動，大眾對關乎「黑」的詞語都頓變敏感，其中一資訊界常用術語「Black Hat」（黑帽）亦成為備受熱議的話題。事關早前 Google 工程副總裁 David Kleidermacher 高調宣佈退出原定 8 月舉辦的 Black Hat USA 2020 安全會議，更喺 Twitter 撰文呼籲…

Microsoft 已經停止支援 Windows 7，搞到唔少用家都趕喺最後機會免費升上 Windows 10。不過，Windows 10 都唔係安全好多，因為剛啱又俾人發現，系統內其中一個用咗十幾年嘅 CryptoAPI 存有漏洞，可以俾黑客利用嚟假扮已獲數碼簽證嘅軟件，繞過電腦嘅網絡防護功能，從而喺目標電腦上安裝惡意程式。如果大家仲記得，上年 ASUS 就因為俾黑客偷咗數碼證書，令黑客可以將有毒嘅更新檔放上 ASUS 自動更新軟件褲，再推送出去俾過百萬用家。另外，亦有大學專家漏洞可被利用嚟攔截及修改 HTTPS 嘅通訊，將受害者引導去虛假網站偷取資料，影響力非常之大。 不過，升級上 Windows 10 始終有保障，因為…

2019 年最後一日，回顧今年發生過嘅大事，都仲係要提醒大家要將電子產品嘅軟件硬件韌體保持最新版本，點解？因為上星期網絡安全組織 Verint’s Cyber Threat Intelligence 嘅專家就發表報告，全球最多黑客利用緊嘅漏洞裏面，除咗有 45% 屬於微軟產品之外，當中有部分漏洞竟然喺 2012 年已被使用，雖然已被微軟修補，但足足 7 年都仲有好多用家未更新，你話係咪好離譜先！ 唔好以為個人用家先係咁喎，今年 3 月美國電力供應商 North American Electric Reliability…