如果有人問你，你有做好保護自己在網上的個人隱私嗎？有採取甚麼措施去保護私隱？你會如何回答呢？美國數據隱私公司 Entrust，早前在世界國際數據隱私日（Data Privacy Day 2021）公布一項在英美兩國進行，與數據隱私相關的調查結果，發現這班擁有智能電話受訪者，有近 8 成人認為自己關注個人資料數據，但只有少數人有為保護私隱改變習慣。看來身處地球另一端的我們，也該反省一下是否有誤判自己在保護私隱時的力度。 Entrust 的調查訪問了 500 名英國人及 500 名美國人，有 83% 人認為自己有積極維護自己的數據，但是卻連最基本的保護措施也沒有採取，這個結果反映他們缺乏相關保護隱私的教育，但其對防護私隱的信心值卻沒有下降。調查更發現，有64％的人願意為了更方便地使用重要服務，而分享個人資料，更有高達 83％ 的人表示，他們接受讓應用程式或第三方身份驗證系統（例如機場的應用程序）等，來儲存生物特徵資料。 雖然他們關注數據隱私問題，但亦不代表一眾受訪者會採取必要行動，來保護自己的資料。即使 82% 人認為自己至少在維護數據隱私方面有些主動，但有…

疫情影響全球各地民生，大家都逼著去習慣和適應疫情之下的遙距工作模式，使用遙距應用軟件等工具工作，想必是僱主和僱員共同面前的難題之一，去年底 HKIRC 進行的調查結果，也反映了僅 42% 的受訪中小企業曾向員工提供遙距工作指導和 41% 有提供網絡安全資訊，僅有 30% 個人受訪者曾受網絡安全意識相關的訓練。最近英國有調查指，當地的大型企業將優先考慮對其員工進行技術培訓，並引進擁有相關技術的人員，似乎香港僱主也應跟隨大勢，壯大 IT 部門。 遙距工作令企業意識到員工精通 IT 技術相當重要，根據 Studio Graphene 的最新報告，接受調查的 750 位英國企業決策者，有三分之二擬於今年在培訓員工方面增加使費，另有 58％…

騙子發疫症財不是新鮮事，但是疫情一日未完，只怕不法分子仍然會利用群眾的恐慌，繼續製造謠言呃錢。最近承著疫苗推出，英國出現不少與疫苗有關的電郵，誘騙民眾輸入個人資料，身在香港的我們，也要留神會否有相同情況出現，下文將介紹各種隨疫症而出現的虛假訊息。 早於去年 12 月，國際刑警組織已發出警告指，未來幾個月內將出現大量與 COVID-19 相關的欺詐和網絡罪案，呼籲執法機構作好準備，該組織秘書長 Jürgen Stock 提到，這些不法分子會利用虛假網站和虛假療法，瞄準毫無戒心的民眾，結果或對他們的健康、甚至生命造成重大威脅。而發出警告後的四星期，民眾與及疫苗供應鏈首當其衝成為罪犯的目標。 假冒產品 有假冒疫苗正在網上發售，令人最為擔憂。Check Point研究人員發現與 Dark Web 相連的論壇帖文中，包含「冠狀病毒疫苗」和「冠狀病毒療法」字眼，內有供應商聲稱可以使用未標明品牌的 COVID-19 疫苗，索價達 300 美元的加密貨幣。Check Point…

黑客肆虐，令「疫情、新常態、黑客機遇」概念突破資安圈，各行各業漸漸覺悟，明白後疫情年代適應資安生態劇變的逼切性，又以醫療產業感受至深。 自疫情籠罩美國，紐約皇后區 Elmhurst Hospital 每日湧現數以百計病人，其中一名向《The New York Times》訴苦，以「災難」形容醫護周旋於 PPE、呼吸機、照顧病人、培訓臨危受命的新手間。而事實上，醫院 IT 部門狀況亦不遑多讓，隨著病人數目增加，遠程問診系統、收費系統、醫療器材聯網、視像會議平台等使用壓力幾何級暴增，黑客亦趁亂打劫，同期對醫療體系發動的黑客攻擊增幅達 150％，有黑客搶奪病人資料在黑市倒賣或後續進行詐騙，亦有黑客透過 Ransomware 以垂危病人為人質，要脅醫療機構就範。跟小型醫院與 NGO 醫療機構合作超過 10 年的資安與創新專家 Beau Woods 分析，前線醫護在疫情間盡忠職守，大眾視為抗疫英雄，但如果斷網，病人接受的醫療服務質素一定受到影響，甚至超出負荷。而眼下黑客正利用疫情，蜂湧攻擊醫療機構。 疫情前資安專家早已預警，胰島素注射泵或自動體外心臟去顫器等醫療器材長年欠更新、或使用 Window XP 等有漏洞的傳統系統，均構成極大資安風險。美國 FDA 去年發出警告，Medtronic MiniMed 胰島素注射泵有漏洞，黑客可無線更改注射劑量，構成性命威脅，廠方暫時透過軟件更新堵塞漏洞。 總括而言，醫療機構本已深受不可逆轉的病歷數據化與在線醫療器材所衍生的資安漏洞困擾，後疫情下推行遙距問診，個人電子裝置收集的個人健康資訊，未來勢必成為一大資安問題。而即使醫療機構理解資安風險，卻未必可以投放相關資源。疫情下，醫院首要增加人手、採購呼吸機、PPE、COVID-19 試劑，但同時間，醫院要暫停主要收入來源的非緊急手術與門診，University of California at Davis 的醫生指，疫情下最艱巨的是資源分配決定。Reuters 報導紐約長老會教友決定順延所有非緊急手術，決定影響 10 間紐約區醫院。在緊絀資源下，前線比 IT 部門有資源優先權。 資安平台 SecurityScorecard 與 DarkOwl 聯合研調發現，疫情間黑客攻擊醫療機構的 Web Application、End Point 與 IP Address 分別有 16%、56% 與 117％ 增幅，而圍繞 COVID-19 的攻擊極具效率。攻擊形式中，Ransomeware 大行其道，疫情期間於美國錄得 109％ 增幅，亦有針對 COVID-19 疫苗策動的國家級黑客侵略。攻擊醫療機構的著名案例，要數 2019 年專門追討病患欠債的 American Medical…

近日有傳中國受水災影響，部分地區出現糧食危機，政府亦帶頭呼籲民眾不要浪費食物。除了天災之外，人禍也會引發糧食短缺，例如以色列安全專家就發現，由Motorola設計的智能灌溉系統在設計上缺乏安全考慮，竟容許用戶以出廠登入資料長期使用系統，只要黑客有心，隨時可摧毁大量農作物，製造糧食危機！ 為減少人力需求、降低成本，不少農場也會裝設智能灌溉系統，交由電腦自動執行灌溉、施肥、使用農藥等工作。可想而知，如未能及早發現系統損壞或運作異常，農作物的收成將會大受影響。而以色列安全公司Security Joes創辨人Ido Naor，就發現有超過100個Motorola ICC PRO智能灌溉系統的用戶，竟然未有為系統設定密碼，黑客只要使用Motorola預設的帳戶登入名稱如admin，即可遙距登入帳戶，修改智能灌溉系統的設定及執行異常灌溉指令，而且不會驚動Motorola及其用戶。Naor指出Motorola的ICC PRO雖然有安全保護，但由於未有強制用戶在安裝後更改帳戶登入資料，全靠客戶自律，結果情況就如許多IoT物聯網產品的用戶一樣，放任繼續使用原廠設定。 Naor說要找出這些系統並不困難，只要使用IoT裝置掃描器，就能輕易在網絡上搜出Motorola的ICC PRO。他已即時將研究報告通知以色列的網絡安全中心及Motorola，讓對方通知用戶盡快修改密碼，而Naor發現仍未修改密碼的用戶已減少至78個，不過由於研究已經公開，肯定會有黑客嘗試入侵這些用戶。 事實上，各國政府均意識到IoT產品的安全問題，並開始陸續規管生產商，例如美國於2020年1月1日生效的SB-327 Information Privacy：Connected Devices 條文，就限制生產商必須為每部產品設定獨一的出廠登入密碼，即使用戶未有更改，也不致被黑客以同一密碼大規模攻擊其他同廠產品。英國及澳洲政府亦有就IoT產品推出安全生製指引，但距離立法還有一段長時間，用戶現階段必須靠自己，例如定時更改帳戶登入資料、啟用2FA雙重因素驗證、持續更新官方發布的韌體更新等，雖然未必百分百安全，但也可減少大部分危機。 資料來源：https://zd.net/3kDpb9V

網絡攻擊愈趨複雜及精密，加上銀行業又是公認的攻擊對象，面對如此高危的環境，香港金融管理局 (HKMA) 於2016年公布網絡安全防衛計劃 (Cybersecurity Fortification Initiative， CFI)，通過三方面提升金融業的網絡攻擊防禦力。其中之一的網路防衛評估架構（Cyber Resilience Assessment Framework， C-RAF）是一套以風險為基礎的評估框架，內裏的評估項目多達400多項，主要分為三個部分。 首先是自身固有風險 (Inherent Risk Level) ，評估標準會根據銀行採用的科技、服務渠道、以往被攻擊的記錄等因素作評級(High、Medium、Low) ；其次會通過審核現有的安全措施，包括監管、偵測機制、保護工具、危機管理及應對政策，以釐定網絡安全成熟度 (Advanced、Intermediate、Baseline) 。如果審核評分未能達到固有風險評估的相對要求，銀行就要按照金管局建議的改善措施提升安全成熟度，直至合符相應的要求。如果金融業的固有風險達到中至高程度，就必須實施網絡攻擊模擬測試iCAST (Intelligence-led…

很多人、事、計劃因疫情而流逝，但又有少數事強勢回歸，QR Code 就係好例子。廿年歷史以上的進取企業，相信 Archive 都有至少一份 QR Code Proposal，不過當年瞬間被社交平台與各種無線傳輸技術淹沒，淪為倉管，直到社交距離成為 New Normal，QR Code 重出江湖，擔當企業 Digitization 的一環，讓消費者 Access 餐廳 Menu 或購物 Coupon。眼見 QR…

2019 年，擁有 W、St. Regis、Westin、Sheraton 等貴價酒店的 Starwood Hotel and Resorts，主動自首承認由 2014 年至 2018 年間，外洩 500 萬住客資料，當中涉及姓名、電郵地址、手機號碼、住址、護照號碼、酒店會藉詳情、出生日期、姓別、入住退房資料（即行蹤）、預約日期等，付款資料其實都有外洩，不過有 AES-128 加密。呢單嘢極度震撼，因為 Starwood 沒有交代外洩原因，好難令人唔懷疑同管理失誤有關。而呢件事入面，最無辜（亦係最 Juicy）可能係…

想必大家都知道，在黑客手法層出不窮的世代入面，各位老闆都想盡辦法保護好自己的資產。Phishing attack﹑Social Engineering 等等濫用人類信任的手法，小編都 cover 過好幾次啦。今日就探討下，現有存在的非人類因素漏洞 — 假冒手段，以及如何利用量子力學解決呢個問題。 而家好多時收貨驗貨都靠一個 QR Code 或者 Bar Code 搞掂。不過隨住 Photoshop 等編輯軟件興起，不法之徒好容易就偽造到一個同原裝一模一樣嘅貼紙，一野就貼喺 D 假貨上面混水摸魚。最多要你打埋個密碼入系統 —…

Tesla 股價近期升到「坎坎聲」，仲要拆股上市，自然會吸引好多人虎視眈眈，尤其係一班黑客犯罪份子，恨不過搵到個機會敲詐 Tesla 一筆。一個俄國公民早前就被揭發，企圖買通一個 Tesla 職員，要佢幫手喺公司植入勒索病毒，應承事成之後會分返 100 萬美金作為酬勞，好彩最後呢個職員「企硬」，主動告發事件，Tesla 先至避過一劫。 根據美國司法部嘅資料，呢名俄羅斯人叫 Egor Igorevich Kriuchkov（下稱克留奇克夫）7 月嘅時候去到美國內華達州 Tesla 超級工廠嘅所在地，搵到一名喺 Tesla 做嘢嘅俄語非美國人，以事後分帳 100 萬美金作為賄款，要佢將勒索軟體放入超級工廠嘅作業系統內入面，打算咁樣去勒索…