如果有人問你，你有做好保護自己在網上的個人隱私嗎？有採取甚麼措施去保護私隱？你會如何回答呢？美國數據隱私公司 Entrust，早前在世界國際數據隱私日（Data Privacy Day 2021）公布一項在英美兩國進行，與數據隱私相關的調查結果，發現這班擁有智能電話受訪者，有近 8 成人認為自己關注個人資料數據，但只有少數人有為保護私隱改變習慣。看來身處地球另一端的我們，也該反省一下是否有誤判自己在保護私隱時的力度。 Entrust 的調查訪問了 500 名英國人及 500 名美國人，有 83% 人認為自己有積極維護自己的數據，但是卻連最基本的保護措施也沒有採取，這個結果反映他們缺乏相關保護隱私的教育，但其對防護私隱的信心值卻沒有下降。調查更發現，有64％的人願意為了更方便地使用重要服務，而分享個人資料，更有高達 83％ 的人表示，他們接受讓應用程式或第三方身份驗證系統（例如機場的應用程序）等，來儲存生物特徵資料。 雖然他們關注數據隱私問題，但亦不代表一眾受訪者會採取必要行動，來保護自己的資料。即使 82% 人認為自己至少在維護數據隱私方面有些主動，但有…

通訊軟件 WhatsApp 近排因有新用戶條款，要求用家與 Facebook 共享資料，爆發私隱危機。鬧得熱烘烘之際，有印度媒體揭發，Google 再次將 WhatsApp 群組聊天連結編入索引，此舉意味著任何人都能以簡單搜尋發現有關連結，繼而進入私人群組！ WhatsApp 今次所面臨的安全危機，是因為 Google 一共為 4,000 多個邀請加入私人聊天群組的連結作索引。WhatsApp 發言人 Alison Bonny 表示，（群組聊天連結）就如在可搜索的公共渠道中，能搜尋得到的所有內容一樣，因此在互聯網上公開發布的 WhatsApp 邀請連結，也會在搜尋頁面中找得到。Bonny…

疫情下網購成為新常態，黑客自然會與時並進，利用相關付款工具發動釣魚攻擊。最近手法是透過 SMS 發出 PayPal 帳戶受限制的訊息，假扮官方通知用家的帳戶須重新驗證方可使用。PayPal 用家如收到類似短訊，切記直接刪除！ 釣魚攻擊 (Phishing) 主要是指透過虛假電郵或訊息，引誘收件人點擊內裏的連結，騙取帳戶登入資料。其中一種方式叫作 SMishing，即以 SMS 短訊為攻擊媒介，早前美國電訊商 Verizon 發表的 Mobile Security Index 2020，便指至少有 17% 的釣魚攻擊源自…

黑客愛用 Ransomware，因為只要得手，中招對象大部分願意息事寧人，交贖金快快手手回復營業狀態，減少損失。黑客可以短時間收錢，故屢試不爽。近日，越來越多黑客透過 Ransomware 封鎖企業網絡，相對以往封鎖檔案或硬盤，封鎖網絡能夠完全癱瘓企業運作，個別黑客還會威脅洩漏客戶私隱，「唔交錢、黑市見」，對企業而言威嚇力十足。所以即使開價上百萬美元等值的 Bitcoin，企業都不敢依從執法機構呼籲報案。「對賺錢至上的黑客而言，Ransomware 的回報率絕對係眾多攻擊之中最高，與目標企業營收掛勾。2020 年底，我們見到黑客借 COVID-19 增加攻擊頻率賺到盡。」Palo Alto Networks Unit 42 的資安風險研究分析員 Anna Chung 回應這個現象。 「我們預期 2021 年…

COVID-19、外交新秩序、WFH……來到 12 月，想不到 2020 年在人類大歷史上會再添新 Entry，今次難得有好消息；Microsoft 公布 Microsoft Passwordless Systems 按月用戶量突破 1.5 億人！ 數碼化年代個人管理帳戶數目高速增長，但大眾未夠認真看待 Password，「Abc123」、「Password1」依然雄踞 2020 年最常用密碼排行榜，而 COVID-19 更讓黑客承機突破企業防線，盡情採摘個人資料。簡單講，這種水平的密碼，形同虛設，構成的保安漏洞令科技企業極度煩惱，Apple、Microsoft、Google、Facebook、Amazon、Intel、Paypal 等巨頭幾年前結盟，組織取名…

每年都會出現的聖誕詐騙訊息又再肆虐，其中 Facebook 作為主流社交媒體平台，自然首當其衝成為不法分子散播訊息的渠道。美國就有身份盜竊專家提醒一眾網民，忽略所有聲稱是「聖誕節獎金（Christmas Bonus）」的訊息，而這類型的騙局似乎在社交網絡的朋友圈子中流傳。身在香港的各位，也要多加提防。 根據報道，聖誕詐騙訊息自 2015 年起已在 Facebook 出現流傳，非牟利組織身份盜用資源中心（ITRC）指出，最近有用戶受到聲稱是「聖誕節獎金」的訊息攻擊，這些用戶是從他們的通訊錄中，收到這些贏得「獎金」的消息，而其實這些消息是來自朋友的帳戶，相當險詐。訊息要求用戶提供個人資料及轉帳費，以進行獎金過戶。 ITRC 提醒，用戶應刪除任何此類的消息，並告知朋友，他的帳戶可能已被黑客入侵，另亦鼓勵他們向 Facebook 回報此類欺詐訊息。 資料來源：https://bit.ly/3azSd82

在新冠炎肺疫情反反復復的情況下，新經濟常常受到衝擊，各地股市市場指數大上大落，疫情受控或疫苗開發有望，舊經濟抬頭，而疫情不受控或疫苗開發，又阻礙新經濟開動。Zoom Video Communications Inc. 作為新冠炎肺疫情必須的「網上會議工具」，又有「在家工作受益股」的綽號，有人認為她是比騰訊更騰訊，比 Tesla 更 Tesla 的新經濟公司。Zoom 在 2019 年 4 月在美國 NASDAQ 股票市場上市，IPO 以每股 36 美元上市，疫情下最高價位每股達 588…

SolarWinds 網絡監測產品 Orion Platform 早前報稱被「國家級黑客」以供應鏈攻擊(Supply Chain Attack) 入侵，涉及 1.8 萬客戶，當中不乏知名品牌。事件曝光後，涉事企業均稱已立即採取即時措施，未發現產品有被明顯入侵跡象。事緣美國網絡安全公司 FireEye 自爆被黑客入侵，偷走滲透測試工具後，疑黑客以供應鏈攻擊(Supply Chain Attack) 入侵 SolarWinds Orion 的自動更新功能，將已加入木馬程式的更新檔案發送到其客戶的設備上，感染 1.8 萬客戶。SolarWinds…

網絡上的不法分子不比現實歹徒善良，只是戰場不一，一宗事故對企業的影響都可以極大。早前有研究指，一宗資料外洩事故平均造成企業 368 萬美元損失，每宗事故的平均停機時間成本，自 2018 年以來，飆升 200％以上，達到 141,000 美元。以香港的情況而言，[01] 在 2019 年 11 月至2020 年 10 月期間，網安事故大多是來自殭屍網絡及釣魚電郵攻擊，分別佔本港市場上的網絡攻擊 52.1%（4,330宗） 及 39.4%（3,277宗）［註1］。在疫情催化下，不少企業推行遙距工作政策，因此需要將資料放到雲端以便工作，亦成為新常態（new normal），但企業所面對的網絡攻擊所引致的資料外洩風險也隨之提高。 智選專家助企業保本及化險爲夷 要為資訊安全漏洞和資料外洩風險做好準備，如果能得到一班可靠的資安專家的協助，為保安事故做好應對準備，必然是最佳解決方案。在 IT 人才短缺的情況下，公司也未必有足夠資源，聘請專責處理事故的人員跟進，加上資料外洩事故時有發生，如果沒有專家解難，長久下去，恐怕會令公司蒙受更大損失。[02] 因此，網絡安全事故應變（Incident Response, IR）服務便應運而生，以應對五花八門的網絡安全問題，而從企業開支的角度來看，成立 IR 團隊可以平均節省 200 萬美元的資料外洩成本［註2］，幫到手之餘又能節省成本！ 網絡風險管理六步曲 有效救火止「洩」 那麼究竟 IR 實際上如何運作及發揮作用？IR 能有系統地處理網絡事故，由一群安全專家針對不同資訊安全狀況，擬定最適切的應對方案及策略。情況就好像消防員來到火警現場，先要評估現場情況，找出起火點，繼而評估受影響範圍，再定出處理策略，以遏制並消除威脅。IR 解決方案引入獲國際認可的網絡安全框架 SANS（美國系統網路安全研究機構）及NIST（美國國家標準技術研究院），並根據企業組織的不同狀況，按照既定流程進行網絡風險管理。網絡安全框架分爲6個應變階段：首先，檢視客戶對網絡安全事故應變的準備程度，並助建立監控及應變機制（準備 Prepare）。在接到客戶網絡安全事故報告後，確認是否事故（鑑定Identify），再繼而評估嚴重性，並快速作回應；確定事件的受影響範圍和嚴重性，控制入侵範圍，避免進一步擴大（遏制 Contain）；繼而分析攻擊來源，再加以清除 （消除 Eradicate），盡可能恢復在事故中損失的數據，協助恢復正常業務運作，並監測攻擊會否捲土重來（恢復 Recovery）；最後，提交初步評估報告，詳述每宗事故所採取的措施及從事故中學習，並可行建議及策略，加強網絡保安能力（檢討 Lesson Learnt）。總括而言，採用 IR 策略，可以降低來自內及外的威脅所帶來的影響，並且找出引起威脅的原因，根除威脅源頭，有利於管理未來的風險。 本地專業團隊24×7支援 隨時候命 HKT 網絡安全事故應變（Incident Response, IR）服務，由新世代網絡安全監控中心（Next Generation Security Operations Center）及本地網絡安全專家團隊，全天候 24×7 支援客戶。專家團隊經驗豐富具備不同範疇的國際標準安全認證資格，例如：GCFA、GPEN、GCIH、GCFE、GCTI、GNFA、GWAFT、GICSP、CISA、OSCP、CISSP、CISM、CCSP、CompTIA Security+、GREM、GXPN、GCIA、GASF、EnCE、ACE，能深入了解不同行業的企業及機構需要。企業尋求協助時，亦毋需受語言不通困擾，而且專家身在處同一時間區域，避免因時差延誤支援而導致損失。專家團隊透過可靠的本地及環球威脅情報，能快速針對漏洞作出應對，有效協助企業處理安全事件，將破壞程度減至最低，避免業務中斷或停止運作。 此IR服務曾為客戶處理在近年十分猖獗，並且針對CEO、高層主管等的變臉郵件詐騙（Business Email…

黑客肆虐，令「疫情、新常態、黑客機遇」概念突破資安圈，各行各業漸漸覺悟，明白後疫情年代適應資安生態劇變的逼切性，又以醫療產業感受至深。 自疫情籠罩美國，紐約皇后區 Elmhurst Hospital 每日湧現數以百計病人，其中一名向《The New York Times》訴苦，以「災難」形容醫護周旋於 PPE、呼吸機、照顧病人、培訓臨危受命的新手間。而事實上，醫院 IT 部門狀況亦不遑多讓，隨著病人數目增加，遠程問診系統、收費系統、醫療器材聯網、視像會議平台等使用壓力幾何級暴增，黑客亦趁亂打劫，同期對醫療體系發動的黑客攻擊增幅達 150％，有黑客搶奪病人資料在黑市倒賣或後續進行詐騙，亦有黑客透過 Ransomware 以垂危病人為人質，要脅醫療機構就範。跟小型醫院與 NGO 醫療機構合作超過 10 年的資安與創新專家 Beau Woods 分析，前線醫護在疫情間盡忠職守，大眾視為抗疫英雄，但如果斷網，病人接受的醫療服務質素一定受到影響，甚至超出負荷。而眼下黑客正利用疫情，蜂湧攻擊醫療機構。 疫情前資安專家早已預警，胰島素注射泵或自動體外心臟去顫器等醫療器材長年欠更新、或使用 Window XP 等有漏洞的傳統系統，均構成極大資安風險。美國 FDA 去年發出警告，Medtronic MiniMed 胰島素注射泵有漏洞，黑客可無線更改注射劑量，構成性命威脅，廠方暫時透過軟件更新堵塞漏洞。 總括而言，醫療機構本已深受不可逆轉的病歷數據化與在線醫療器材所衍生的資安漏洞困擾，後疫情下推行遙距問診，個人電子裝置收集的個人健康資訊，未來勢必成為一大資安問題。而即使醫療機構理解資安風險，卻未必可以投放相關資源。疫情下，醫院首要增加人手、採購呼吸機、PPE、COVID-19 試劑，但同時間，醫院要暫停主要收入來源的非緊急手術與門診，University of California at Davis 的醫生指，疫情下最艱巨的是資源分配決定。Reuters 報導紐約長老會教友決定順延所有非緊急手術，決定影響 10 間紐約區醫院。在緊絀資源下，前線比 IT 部門有資源優先權。 資安平台 SecurityScorecard 與 DarkOwl 聯合研調發現，疫情間黑客攻擊醫療機構的 Web Application、End Point 與 IP Address 分別有 16%、56% 與 117％ 增幅，而圍繞 COVID-19 的攻擊極具效率。攻擊形式中，Ransomeware 大行其道，疫情期間於美國錄得 109％ 增幅，亦有針對 COVID-19 疫苗策動的國家級黑客侵略。攻擊醫療機構的著名案例，要數 2019 年專門追討病患欠債的 American Medical…