【22/9 更新】繼數碼港被黑客入侵後，輪到消委會失守！今早消委會舉行記者會交代事件，指系統遭入侵 7 小時，估計《選擇》月刊訂戶及員工個人資料被盜取。黑客要求支付 50 萬美元 （約 390 萬港元） 贖金，消委會表示絕對不會繳交，會全力配合警方調查工作，又向公眾致歉，稱已即時加強系統保安措施。 想知最新科技新聞？立即免費訂閱 ！ 消委會主席陳錦榮在記者會上表示，於周三（20/9）發現電腦系統遭黑客入侵，時間長達 7 小時，導致 8 成系統被破壞，系統亦較正常流量多出 65GB。 陳錦榮稱未能估計實際受影響人士總數，可能被盜取的資料包括員工、前員工及其家屬，以及空缺申請人的資料，如身份證號碼、住址、出生日期和履歷，亦包括《選擇》月刊約 8,000…

早前 Microsoft 承認被中國黑客集團 Storm-0558 盜取的消費者簽名金鑰（Consumer signing key）一事， 有安全研究人員指出，原來不單可讓黑客入侵 Exchange Online 及 Outlook.com 帳戶，更影響到所有使用 Microsoft OpenID v2.0 驗證的應用服務，猶如擁有超能力的入侵者一樣。 想知最新科技新聞？立即免費訂閱 ！ 中國黑客組織濫用零日漏洞　受影響範圍成羅生門…

在高等教育領域中，同一機構內的學生和教職員可擁有多重身分——學生可能成為教職員﹑員工或擔任義工，畢業生將成為校友等。而他們更可能同時在多個部門擔任不同崗位，並且頻繁地穿梭轉換，要正確地梳理每個人的身分和相應權限殊不容易。再者，很多香港高等教育機構習慣在不同時期由不同的部門建設多個系統及應用，令情況更趨複雜。 想睇更多專家見解？立即免費訂閱！ 不少大專院校仍依賴人手程序來分配和處理存取權限，這包括每個學期成千上萬的新生，而且他們在成本和人手上可能面對更大限制。此外，這些機構往往須儲存和管理個人身分資料和敏感的研究內容，故他們不僅必須滿足當地和國際監管及審計要求，同時面臨更高的網絡安全風險。 身分管治成安全關鍵　 佈建新帳號時間短 疫情加速全球數碼發展，遙距學習漸成趨勢，犯罪分子卻持續利用當中衍生的安全漏洞，令教育機構多次遭受網絡攻擊，例如資料外洩、網絡釣魚攻擊和阻斷服務攻擊。網絡攻擊所導致的後果嚴重，包括學校停課、教學中斷、數以百萬計的納稅人資金損失，甚至學生和教職員身分遭盜用等。 鑑於這些安全性、存取權限和合規問題複雜，香港的高等教育機構應該把有限的資源集中在何處？以身分安全為核心的 IT 安全策略是一大關鍵，能協助機構安全管理各式各樣的角色。 身分安全涉及利用軟件和系統來管理用戶在地端或雲端的應用及檔案存取權限。此外，藉着中央佈建流程和單一權威數據源，即可佈建及追蹤具備多重身分的用戶，幫助機構簡化及自動化關鍵程序，佈建新帳號所需時間從一整晚大大減少至只需一分鐘，用戶更能輕鬆使用遙距視像軟件來學習或進行會議，在提升效率之餘，亦提供更佳用戶體驗。 方案需合乎機構獨特要求　哈佛大學都有用 一個能夠回應機構獨特要求和數據結構的身分安全方案，在今時今日保障校園安全發揮了重要作用。例如美國哈佛大學的用戶分佈極複雜，因此需要簡化多個帳號的管理工作，輕易佈建或取消佈建帳號及服務，並自動評估﹑套用或刪除聯屬關係。 該程式能夠區分學生、教職員、員工﹑學生員工、承辦商等角色，並根據各個相關生命週期的定義，提供必要和非必要的帳號和資源。每個身份的聯屬關係會每 15 分鐘評估一次，並根據個別生命週期來增刪帳號和服務。若用戶的角色有變，存取權限亦會自動調整，而且必定僅為該角色可享的最低權限。這樣可大大減低威脅的攻擊面。 機構該從何入手？以下為三點建議： 爭取管理層支持：部署身分安全方案需時不多，少至三個月亦能成事。然而，機構需放眼更長遠的路線圖，才能充分當中所帶來的機遇；而相關政策及程序也需升級配合，而且必須由高層帶領，由上而下作出變革方能實現。 與專家合作：身分管理項目不應採用普世通用的解決方案。機構的預算、時間框架、度身訂制的方案、配置需求，以至現有的身分管理流程，都會影響大大小小的決策？由一個了解你需要的供應商提供專業建議及支援，致力與你坦誠合作，是決定成敗的重要因素。 預備展示投資回報率：向管理層展示身分安全的利處非常重要，這樣才能持續取得他們的參與和支持。證明長遠而言，投資身分安全能夠為機構帶來切實的進步，並為用戶送上更佳體驗。 作者：SailPoint香港及澳門董事總經理戴健慶（Simon）

MOVEit Transfer 及 Cloud Managed file transfer（MFT）零日漏洞事件繼續發酵！開發商 Progress Software 在五月尾推出安全修補後，在調查過程中又發現多一個零日漏洞，結果在 6 月 9 日再一次緊急發布第二次安全修補。 專家指第一個漏洞正被勒索軟件集團 Cl0p 瘋狂濫用，受影響的機構已超過 100 間，而且亦有入侵的概念驗證（PoC）被公開，如果有採用相關服務，就更加要立即升級。 想知最新科技新聞？立即免費訂閱…

相信對於有建立網站提供對外服務的公司來說，如何強化網站的防護一直都是重要的課題，除了基本的防火牆、定期更新和維護、安全漏洞掃描，有些公司也會額外採購 WAF（Web Application Firewall），以強化網站在 SQL injection，XSS 攻擊的額外保護。 但是如果要防止爬蟲或是使用機器人與自動化程式進行的惡意行為，就需要使用人機辨識對連線來源作區分，分辨合理連線，並只允許合法使用者進行操作。 在網站上使用的人機辨識為 CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart），中文翻譯為「全自動區分計算機與人類的圖靈測試」，…

過往三年，醫院、診所和化驗所等醫療機構除了面對人手長期短缺和供應鏈挑戰，還需抵禦疫情。然而，網絡安全威脅日益加劇，醫療機構不得不加緊尋找方法，來保護機密資料和重要技術。 根據 SailPoint 研究報告指出，與身分識別相關的安全漏洞，已成為醫療行業不容忽視的問題，93% 醫療機構在過去兩年，曾遭遇資料外洩。 想睇更多專家見解？立即免費訂閱！ 隨着併購遂增、機構轉向採用雲端和物聯網（IoT）技術，以及急速的數碼轉型，醫療行業所面對的風險和挑戰日益加劇。IBM 報告顯示，在所有行業當中，醫療業已連續 12 年成為平均資料外洩成本最高的行業。 醫療機構現時面對的另一個挑戰，是非僱員人數越來越多，包括承辦商、供應商、聯屬醫生和專家，以及臨時專業醫護人員。由於這些第三方身分可以存取病人資料，因此需要一套強大的身分安全策略來有效管理，以全面掌握這些人員的存取和許可權限。 最近，香港醫療行業遭受的攻擊越趨劇烈，網絡釣魚電郵和勒索軟件等手法，常用於攻擊具高價值的醫療記錄和關鍵基礎架構。本港醫療業界領袖也意識到病人資料遭意外洩露的危險，並可能導致紀律處分、法律訴訟、聲譽受損和額外營運成本等後果。 SailPoint 報告《身份安全狀況 2023：焦點關注醫療行業》訪問全球 150 家醫療機構，當中 93% 已經實施或已開始實施身分及存取權限管理計劃。然而，96% 受訪者認同，其機構的身分識別相關安全漏洞偵測及預防能力需要改善，因為醫療業內的…

雲端服務逐漸發展，各種雲原生解決方案越趨成熟，許多企業逐漸將傳統機房搬至雲端，省去了許多維護設備的花費與心力之餘，變得更靈活和容易擴充。同時，雲端資安也成為重要議題。在雲端服務供應商對資安的重視與強化之下，不論是從底層的硬體與傳輸加密，以至對外部攻擊的防護工具，都已具備相當的保護。事實上很多時造成資料外洩的原因，是使用者的操作不慎與錯誤配置。 想睇更多專家見解？立即免費訂閱 ！ 據 2022 年數據洩漏調查報告（2022 DBIR）指出，82% 資料洩漏是人為導致，不論是盜取的憑證、網絡釣魚、資源或權限的濫用。員工有可能不慎開啟釣魚信件，或遭利用人性弱點來欺騙的社交工程攻擊，致帳號及密碼流出，也可能因不慎將應用程式使用的金鑰放至公開平台上，令重要資料外洩。 此外，全球權威 IT 與顧問諮詢公司 Gartner 也預測，到 2025 年，全球雲端資安事故中，將有 99% 因使用者失誤或錯誤配置而導致。舉例來說，近期就有一家租賃公司因雲端伺服器配置不當，有心人士只要得知其 IP，便可自由存取資料庫內的會員資料。加密貨幣交易平台 Coinbase 也傳出因員工遭釣魚及詐騙，黑客成功取得相關帳號密碼，再獲得部分員工的聯絡資訊。…

電郵安全公司 Green Radar 公布最新電郵威脅指數，反映威脅風險較上季適度下跌，但風險水平維持在「高」。年近歲晚，金融服務業仍是網絡釣魚攻擊目標，黑客以財務部發放年度獎金為由廣撒電郵，利用大衆期待獎金的情緒釣魚。另外，市場調研公司 Frost & Sullivan 上月將 Green Radar 的 grMail，評為香港和新加坡地區電子郵件安全服務供應商的行業領導者，反映對其技術水平及複雜程度的認可。 Green Radar 劍達（香港）有限公司公布 2022 年第四季度電郵威脅指數 Green Radar Email…

今年 7 月，有黑客先後在暗網出售 twitter 用家帳戶資料，其中一個資料組合涉及的用家數量更多達 540 萬個！專家估計黑客是趕在 twitter 的漏洞被堵塞前，大量收集用家資料。事件近日又有新進展，有黑客免費上載一個同樣有 540 萬 twitter 用家的資料組合，如果屬於同一數據，內裡便會有名人明星的電話、電郵等資料。 twitter自從被全球首富 Elon Musk 收購，負面新聞不斷，最新消息是有黑客於著名的資料外洩討論區 Breached 上，免費上載 540…

2022 年快將完結，回顧今年發生的網絡安全事故，可見已與 2021 年與遙距工作模式為主的情況大不同，正式踏入後疫情時代。網絡安全專家就為 2023 年作出 5 大預測，方向包括物聯網、私人裝置工作、國家級黑客、人工智能及安全意識培訓，業內人士不可不知。 物聯網（IoT） 根據市場調查公司 Gartner 預測，2023 年將有 430 億 IoT 裝置連線網絡，專家認為由於大部分 IoT 裝置的用途都不是用於儲存數據，因此生產商普遍低估其產品的網絡安全風險，證據就是不少裝置在出廠時依然採用低強度及統一帳戶登入資料，例如 admin…