第一日返呢份工，枱頭就有部 30 吋 Apple Cinema Display 同埋 iMac，當時真心好興奮，終於有機會加入蘋果陣營。不過同事靜靜雞提醒，最好都係遮遮個鏡頭，起初都以為佢哋諗多咗，但直到呢單新聞出現，都係轉頭封咗個鏡頭佢啦！ 講緊嘅係 MacOS 版本嘅 Zoom，呢個全球有 400 萬用家嘅視像會議軟件，俾網絡保安研究員Jonathan Leitschuh 發現有大漏洞，就係軟件會喺電腦入面安裝一個網頁伺服器（web server），只要 Zoom 用家唔小心打開咗一條邀請參與會議嘅惡意連結，之後黑客就可以喺用家唔知情嘅情況下，自動開啟視像會議，換句話講，即係打開 Mac…

NotPetya 原本要攻擊的目標是烏克蘭，但過程中卻將全球最大運輸集團馬士基拖下水，而透過馬士基又再波及其他人，它造成的總損失估計達到 100 億美元。 Oleksii Yasinsky 原先以為，周二那天辦公室應該沒有甚麼特別事會發生。那是烏克蘭法定假日憲法日的前一天，大部分同事不是興高采烈計劃度假，就是已經安心去了度假。不過，Yasinsky 卻沒有這樣的心情。過去一年，他一直是 Information Systems Security Partners（ISSP）的網絡實驗室負責人，這崗位的職責是不允許有死機出現。實際上，自從 2015 年底俄羅斯發動第一波網絡攻擊以來，他休假的時間加起來才只有一個星期。 因此，那天早上當 Yasinsky 接到一通電話後，他並沒有感到特別慌張。電話是由 ISSP 總監打過來的，說烏克蘭第二大銀行 Oschadbank…

如果問未來最矚目嘅流動通訊科技係乜，十居其九都會答5G同埋物聯網（IoT），華為創辦人任正非月初接受英國《金融時報》訪問，都話美國佬搞完佢哋嘅5G後，下一個戰場就係物聯網，就知呢兩樣嘢幾咁受全世界重視。 不過物聯網有個好大嘅問題，就係物聯網嘅概念係將所有本來上唔到網嘅死物，都搞到佢哋可以駁晒上網，以前就算只得電腦同埋手機可以上網，要搞網絡保安已經唔容易，而家仲所有嘢都上晒網，黑客要入侵更加易而反掌。 舉個簡單例子，之前聽行家講過，有個中小企客俾黑客入侵，check晒全公司網絡都搵唔到個漏洞，最後結果發現原來佢門鎖係連住物聯網，但係因為要識別員工資料，所以又連咗上公司個數據庫，就係咁出事……試想像一下如果公司有幾樣嘢都用緊物聯網，情況會幾失控。 歐洲一間認證機構digital.security就諗到條橋，幫出品物聯網設備嘅公司做認証，只要產品出廠前俾佢哋做25至30個測試，確保產品無論連接其他物件、互通訊息嘅協定、連接嘅伺服器，以及產品內置嘅應用程式，都唔會有保安漏洞，而成個過程會聘請獨立資訊保安專家嚟評估，通過測試就會喺產品貼上IQS（IoT Qualified as Secured）嘅標誌，為期兩年，兩年後要再拎返嚟重新測試先可以續牌，過程都好嚴格，以後要添置物聯網產品時，就記得睇下有冇IQS標誌先好買！

NotPetya 的名字，源自於勒索軟件 Petya 而來，它是 2016 年初浮出水面的一段惡意程式代碼，被感染的受害者必須交出贖金，才能拿到解鎖檔案的密鑰。不過，NotPetya 的勒索要求只是幌子：它的目標，純粹是搞破壞。 雖然發動網絡攻擊的目標是烏克蘭，但其影響範圍卻是全世界。前美國國土安全部顧問 Tom Bossert 說：「這就好比用原子彈來取得一次小型的戰術勝利。」 無論按照哪一種定義方式，NotPetya 的釋放都是一種網絡戰爭行為，其爆炸性之大，甚至可能超出創建者的意圖。在起初出現的數小時內，蠕蟲就擴散到烏克蘭以外，受重創的公司包括馬士基、製藥巨頭默克、聯邦快遞歐洲分支公司 TNT Express、法國建築公司 Saint-Gobain、食品製造商Mondelēz 以及製造商 Reckitt Benckiser 等，每間公司都遭受…

被視為史上最惡毒網絡武器之一的 NotPetya 之誕生地點，要追溯至烏克蘭的首都基輔。 走過佈滿歷史建築地標的 Podil 街區，咖啡店和公園逐漸消失眼前，取而代之是糟糕的工業景觀。走過一條天橋下方，跨過鐵軌上的垃圾及走進一道混凝土門，便是樓高四層的 Linkgos Group 總部，它是一間小型的烏克蘭軟件家族企業。 其中在三樓有一間伺服器室，內裡堆放了一個個盒子般大小的伺服器，它們被一堆電纜連接著，並用手寫的數字標籤做好標記。平常這些伺服器會負責戈大火弓財務軟件 M.E. Doc 進行定期更新維護，如修復檔、安全修補、調整性能等。M.E. Doc 相當於烏克蘭的 TurboTax 或者 Quicken，總之在該國經營須納稅的生意，幾乎都要用到這個軟件。 不過在 2017…

唔少網絡安全專家都警告，醫療器材將會成為黑客嘅主力攻擊目標。理解嘅，醫療系統儲存咗好多病人嘅個人私隱，特別係私家醫院就有好多公眾人物嘅病歷紀錄，掌握到呢啲可能未經公佈嘅消息，絕對可以多方向謀利，例如勒索對方、發佈消息去操控對方所持公司嘅股價等等。其實除咗可以非法攞到病人資料，仲可以操控性命。 美國食物及藥物管理局（FDA）喺上星期就發出警告，呼籲病人將由美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅部分型號拎去回收，因為 FDA 發現呢啲產品存在網絡漏洞，可以俾有心人士隔空改變藥劑設定，影響病情。 由於糖尿病人無法分泌足夠嘅胰島素（Insulin），又或出現胰島素阻抗（Insulin Resistance），部分病人有需要口服或注射胰島素藥物，先可以轉化血液中嘅糖份；視乎病情，醫生會調校藥劑，維持體內嘅胰島素量，避免不足或過多。Medtronic 自動注射器嘅出現，就可以按照醫生嘅藥劑設定，自動為病人注入胰島素。不過，由於呢款產品備有無線連接功能，而 FDA 就發現咗有心人士可以喺接受範圍內，利用產品本身嘅漏洞進入系統，修改藥劑量設定，影響病情，所以就要求生產商回收產品。 其實除咗胰島素注射器，其他身體檢查醫療器材如果俾黑客攻擊，例如磁力共振、電腦掃描儀器等，就可以製造虛假檢查結果，有病變無病，無病變有病，令病人延遲接受醫療或製造恐慌，所以除非你一世人都唔使睇醫生，否則醫療漏洞絕對同所有人有關。 資料來源：https://bit.ly/2KOlrE7 相關文章：【醫療事故】醫院洩密 新加坡總理都中招

早前報導佛羅里達州兩個巿政府齊受勒索軟件襲擊，兩個市政府最終決定交贖款了事，其中人口大約 12000 人嘅 Lake City 跪低向黑客支付 42 個 Bitcoin （約價值 46 萬美元）後，秋後算帳就正式開始，搵咗個 IT 主管出嚟問責，兼夾革職祭旗。究竟點解要佢揹呢隻鑊？ Lake City 乃佛羅里達州一個小市鎮，官方形容今次保安事故係連中三元（triple threat）。事源有個濕滑嘅同事收咗個有毒電郵，粗心大意地下載咗個受感染嘅檔案，引發連鎖反應：先中木馬程式 Emotet，引入另一個木馬 TrickBot…

人哋用得你嘅服務，梗係相信你可以守護佢哋嘅私隱，點知上載嘅相可以喺網上任睇，全無私隱可言，咁仲唔係虛假宣傳？Online Buddies 就係因為咁而被告喇。 網絡安全公司嘅研究員經常會進行一啲網上調查，分析一啲應用服務供應商提供嘅服務有無漏洞存在，因為服務供應商未必有足夠人手去監測自己嘅伺服器有無問題，所以當研究員發現到漏洞所在，就會第一時間通知對方修補，而喺漏洞修補後或對方過咗一段時間都無反應，先至公開漏洞等對方正視。一般嚟講，服務供應商都會即刻解決問題，以免影響用家嘅信心，或被黑客入侵造成更大嘅損失。 Online Buddies、Jack’d 共用儲存平台 除咗以上兩項風險，服務供應商仲有可能被執法機關起訴。美國紐約一個專門提供同性戀交友平台應用服務嘅公司 Online Buddies，喺上星期五就俾紐約州總檢察長 Letitia James 檢控，指出被告公司早年收購嘅 Jack’d 手機約會應用軟件存有誤導成分，令用戶相信其上載嘅相片有足夠私隱保護，可以防止被授權以外嘅人睇到，但被告一方卻對漏洞視而不見，收到報告一年都無修補漏洞，令用戶嘅個人私隱蒙受損失，結果判處罰款 24 萬美元，同時勒令 Online Buddies 要持續改善網絡安全程度。…

每年 Amazon Web Services（AWS）都會於全球 35 個城市，舉辦 AWS Summit 峰會。香港站已於上星期完滿結束，峰會當日吸引了二千多名 IT 從業員參加，同場更有 40 家 AWS 合作夥伴開設展區，展示所提供的雲端應用服務。峰會的主題演講不單詳盡介紹了 AWS 的各種服務，更邀請了美聯物業、中華電力等機構出席，分享其借助 AWS 的數碼轉型歷程。 自從…

有睇過嘉倩 BB 嘅講解片，應該都了解 DDoS （Distributed Denial of Service, 分散式阻斷服務）攻擊嘅運作原理。呢種以本傷人嘅攻擊方法，旨在癱瘓目標網站或應用服務嘅運作，完全唔需要對方存在安全漏洞，一味控制殭屍電腦要求連線就搞掂，早前通訊應用軟件 Telegram、本地傳媒蘋果日報，就先後指出曾受到 DDoS 攻擊。就算你無一大堆殭屍電腦兵團，都唔緊要，因為網絡上有大量黑客提供 DDos as a Service 服務，只要肯俾錢就有黑客代勞㗎喇。 美國聯邦調查局（FBI）喺上年已出招打擊呢類受僱型黑客攻擊，不過網絡安全公司 Nexusguard 最近發表嘅《2019年第一季威脅報告》就提到，今年年初受僱型 DDoS…