Deepfake 換臉技術嘅專家估計，距離完美造假換臉影片出現嘅時間只得返半年至一年，點解？因為佢睇完內地開發嘅 ZAO app 之後，覺得有修正嘅空間囉。 南加州大學 Computer Science 系副教授 Hao Li 一向係 deepfake 技術嘅專家，最近就為 MIT 科技會議炮製咗示範片段，俾 MIT Technology Review 總編 Gideon Lichfield，喺台上展示即時換臉技術嘅發展去到邊個階段。Lichfield…

Robocall，即係自動語音通話，真係諗起都𤷪！有調查顯示，美國境內每日都有兩億個電話係由機械人打出，足足佔總電話量嘅三成。Robocall 已經成功登上聯邦通訊委員會被投訴對象嘅第一名，問你怕未？ 發生喺美國嘅 Robocall 目的有好多，包括促銷、政治宣傳、詐騙、騙取用戶資料等。美國 Transaction Network Services（TNS）利用機器學習、大數據分析，幫助用戶及電信業界對抗垃圾來電。日前 TNS 發表咗一份報告，公佈有關美國滋擾電話嘅調查。 喺報告內，TNS 為美國電信業者億億聲嘅電話進行分類：「高危類」指詐騙電話，目標係盜取個人資料或金錢；「滋擾類」係純粹嘅煩，唔包含惡意攻擊。雖然好似冇害，但單係「煩」就夠死。TNS 更發現，「滋擾類」電話嘅增長比其他高危詐騙電話多 38％，即係越來越多，越來越煩。 另外，TNS 指出自動語音電話「騎劫」個案有兩倍升幅，所謂騎劫，即係 illegal spoofing，來電時會顯示假冒嘅電話號碼，繞過垃圾電話過濾器。TNS 指每 1700…

根據華盛頓郵報報導，加州州長 Gavin Newsom 將會簽署法案，限制執法人員喺隨身拍攝鏡頭內加入人臉辨識技術，有份動議呢項法案嘅成員話，原本裝備呢啲鏡頭有助改善警民關係，但如果人臉辨識技術會破壞信任關係，令人憂慮會變成監控工具，咁就寧願唔好有呢項功能住，所以法案會強制禁止執法機關喺 2023 年或之前安裝人臉辨識，真係令人拍爛手掌。其實唔好話有無人臉辨識，要市民信得過呢啲鏡頭，除咗儲存影片嘅方法具透明度，唔可以隨便攞嚟用或銷毁之外，仲要小心存放，否則就好易洩露市民私隱。 好似 Miami 嘅執法機關就唔係好靠得住，早排 Black Alchemy Solutions Group 行政總裁 Jasun Tate 就喺自己個 Twitter 度報料，話網上搵到條公開連結，係人撳入去都可以睇到晒警方隨身鏡頭嘅影片，數量仲有成 1TB…

Pentest 滲透測試係發掘網絡系統漏洞嘅好方法，所以唔少政府部門或企業都會外判服務供應商進行測試。但美國就有兩個網絡安全專家喺執行測試時，懷疑殺得性起，做多咗嘗試強行爆入法院大樓，再攻埋其他系統，結果搞到官非纏身！ 上星期三，美國愛荷華州（Iowa）達拉斯縣（Dallas）法院發現有不明人士闖入法院大樓，觸動警報系統，結果警衛拉咗兩個入侵者。兩個入侵者分別係 Justin Wynn 同 Gary Demercurio，被捕時二人即刻話係受到達拉斯縣政府所僱用，目的係測試法院嘅安全系統。起初當局回應話無咁嘅事，但經查明係，證實 State Court Administration（SCA）的確係僱用咗網絡安全公司 Coalfire 為系統進行滲透測試，而 Justin 同 Gary 就係 Coalfire 嘅員工。 雖然證實咗真係派出社員，但…

網絡安全事故頻頻發生，香港企業當然不可能獨善其身，特別是雲技術興起，重要數據或敏感資料未必會只儲存在內部伺服器，被攻擊的層面自然大增。為了減低風險，現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過，面對層出不窮的攻擊手法及難以防備的人為疏忽，企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說，這類保險概念在香港屬起步階段，但在歐洲地區卻歷史悠久，遠在上世紀七十年代已有相關保險，因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟，不單只保障企業，個人一樣受保，例如經常拿著電腦到不同地方工作的自由工作者，保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險，主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇，但網絡安全保險就相對陌生。盧子頴解析，網絡安全保障範疇不難理解，當發生黑客入侵或資料外洩，善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障，主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後，企業必須聘請專家去證明這是否一宗網絡安全事故，進行調查及鑑證，分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報，便有可能需向法律顧問諮詢意。除此之外，為免外洩的客戶資料被黑客用作申請信用卡或借貸，企業或有需要採用信貸監控服務，而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業，這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額，例如過往的交易紀錄等，但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞，又或受到勒索軟件攻擊，待專家取證後，企業便可以修復系統及復原數據，涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱，導致客戶在名譽或金錢上出現損失，對方便有可能入禀追討賠償。 除了上述四項保障，盧子頴說因應市場需求，部分保險公司還會提供一些額外的保障，例如贖金索償，當企業遭受勒索軟件攻擊，有需要繳付贖金以取回解鎖方法，這些贖金便會獲得賠償。「另外，近年因外判商失誤造成損失的個案大增，所以亦有保險公司提供這類保障，例如一些業務涉及電子交易的企業，會委托外判商提供及管理網上交易平台，如證實導致資料外洩的失誤是出在對方身上，投保人便可獲得保障，而保險公司則保留向外判商追討損失的權利。」 事實上，網絡安全保險的保障範圍可以很全面，不過，盧子頴強調與其他保險產品一樣，投保的概念並非為了賺錢，而是減少損失。不過，是否所有企業也需要投保？他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information（PII），而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料？如需管有這些敏感資料，受黑客攻擊的風險便會增加，企業管理者應認真考慮投保，特別是全球各地都開始為保障個人私隱立法，歐盟通過的 GDPR…

我好鍾意睇 John McAfee 嘅花邊新聞，呢一秒話俾仇家落毒搞到要留院兩日，下一秒就話要參選下屆美國總統，跟住仲話自己偷咗中美洲國家 Belize 嘅機密文件，所以成日俾人追殺。如果真係俾佢當選美國總統，我諗真係同侵侵有得 fight！ 佢創辦嘅網絡安全公司 McAfee 就正路好多，雖然前年賣咗俾 Intel，但一直以嚟 John McAfee 都經營得有聲有色，作為資安界一份子，每季梗係要讀過佢哋嘅研究報告先安樂，話晒分析晒網絡保安趨勢，唔睇分分鐘俾人話 out！ 2019 年第一季報告啱啱出爐，睇完真係冷汗都標埋，McAfee 研究員指出，平均每分鐘就出現 504 種新嘅網絡威脅，而全季差唔多有成…

網絡安全公司 Arkose Labs 剛推出 2019 年第三季 《Fraud and Abuse Report》 ，調查結果顯示，有超過一半（53％）社交媒體嘅登入都係機械人製造出嚟；而所有新開嘅帳戶中，亦有 25% 係假嘅，情況愈來愈嚴重。Arkose Labs 指出愈來愈多社交媒體攻擊，如帳戶盜用、假帳戶、垃圾訊息等，唔單只由黑客或騙徒操作，仲有 75% 會靠機械人執行，真係非常誇張。 Arkose Lab 指帳戶盜用問題之所以特別猖獗，皆因門檻不高，而且唔少人會以社交媒體帳戶登入其他服務，奪取到帳戶就可以攞到好多個人資料，成本效益更高。Arkose…

如果大家好記性，都記得舊年香港爆過單遺失選民登記冊嘅新聞，最精采 係上個月選委會開記招提返呢件事，竟然話調查完都判斷唔到點解會遺失……any肥，我只係想講，香港地方咁細，唔見咗選民登記冊都牽連甚廣，換轉係美國，當然就更大件事，而且分分鐘影響埋選舉結果！ 路透社最近就出咗篇獨家文章，話原來美國政府內部已經做緊嘢，一個月前推出咗新計劃，希望可以喺 2020 年總統大選前，提升選舉系統嘅防禦能力。上屆選舉時，已經有俄羅斯黑客入侵選民驗證系統，從中偷走資料，但大家擔心嘅係上次只係試驗，今次大選行動會升級，黑客唔滿足於拎資料咁簡單，而係透過操控及竄改資料嚟決定選舉結果，咁就更加大件事！ 華府網絡安全和基礎設施安全局（CISA）局長 Christopher Krebs 接受訪問時就話，近幾個月各州縣政府部門先後被勒索軟件攻陷，部分檔案被鎖住唔能夠打開，要用虛擬貨幣交贖金先開得返，而好有可能下年大選都有機會中招，俾黑客用同樣招數鎖住選民資料。 目前 CISA 已經同所有州政府聯繫，一方面提供教材，等佢哋知點樣應對呢類攻擊，另一方面就落手落腳幫佢哋做齊晒各方面嘅測試，睇下有冇乜嘢漏洞，及早作出修補。雖然目前仲未有指引，如果州政府中招後應唔應該俾贖金，但 CISA 就強調做好預防及備份措施，就係希望唔會出現要俾贖金嘅呢一日。 當然啦，唔想俾黑客勒索，最有效方法就係定時備份，有州政府選舉工作人員就話，自從 2016 年開始，已明顯加強咗網絡保安，而且不時都會備份選民資料以防萬一，但係到底要幾耐備份一次先妥當？暫時都未有清晰指引喇！ 資料來源：https://reut.rs/2ZwpYxK

大量網絡安全統計數字顯示，醫療機構已成為黑客其中一個至愛目標，除咗因為佢哋保存咗好多病人資料，亦因為醫療機構有大量聯網器材，喺設計時根本無乜點諗過會被黑客攻擊，所以有唔少漏洞可以被利用。 而最新一份由網絡安全公司 FireEye 發表嘅調查報告，就指出由上年十月初至今年三月尾，喺地下討論區內刊登咗大量出售病人私隱嘅廣告，呢啲病歷紀錄主要來自美國、英國、加拿大、澳洲同印度，當中更包含病人嘅電郵地址、駕照、醫療保險資料等等，而最平一宗交易涉及約 20 萬病人資料，價錢只由千六蚊港幣起。考慮到黑客可以攞住呢啲資料，之後用嚟向病人發動社交工程、釣魚攻擊，甚至進行勒索嘅話，呢筆費用絕對係價廉物美。記憶猶新，上年新加坡醫療機構 SingHealth 被黑客盜取嘅 150 萬個病歷中，更包括總理李顯龍，當然如果有呢啲名人資料，價錢就唔會咁平啦。 主動調查黑客攻擊目標 除咗售賣病人私隱外，亦有黑客賣埋醫療機構嘅登入資料，等買家可以自由出入醫療網絡、喺系統植入木馬，甚至橫向發展，感染其他醫療機構嘅系統。而根據 FireEye 嘅報告，嚟自中國嘅 APT 黑客團體，對醫療機構最有興趣嘅係同癌症研究相關嘅研究報告。FireEye 專家話喺今年四月初，多個中國黑客團體嘗試向美國一間醫療中心發動攻擊，偷偷潛入系統去挖掘癌症醫療報告。FireEye 專家指出佢哋喺隔離系統內放置嘅各類誘餌文件中，全部黑客團體都嘗試盜取一份癌症會議文件，專家解釋話相信係中國醫療企業想了解美國治癌嘅最新發展，希望可以搶先喺市場上推出新藥物。 喺報告嘅最後，專家指出醫療體系絕對有必要建立更強及統一嘅網絡安全標準，因為隨著而家愈嚟愈多醫療器材具備上網功能，黑客可以隨意修改一啲醫療設備嘅參數，令病人服用過量或不足的藥物，致病人於死地；亦可以偽造各類檢查報告嘅結果，例如電腦掃描、磁力共振、血液化驗等等，同樣可以令有病變無病，無病變有病添！ 資料來源：https://bit.ly/2L6oG7y

作為資安長老，有很多朋友向我查詢 CISSP、 CISA（Certified Information Security Auditor）及CISM (Certified Information Systems Manager)三個保安認證資格中，哪一個比較易應付？各自的職場發展機遇如何？另外，為何有些培訓中心提供三合一課程？應該逐個修讀還是一併報考？ 三種證書，各擅勝場 根據資安長老多年教授 CISSP、CISA 及 CISM 的課程經驗，我的建議還是應該先了解每個證書的認證要求，再根據自身條件，訂立學習計劃。說到要考取上述認證的方程式，我認為必須預留半年或以上時間準備，課程編排最好是每星期一次，並於每個周末抽出 4 小時溫習，勝算便很高。讀者看完今次關於 CISA 及…