可能你未必留意到 reCaptcha 係啲乜嚟，但你絕對有用過呢項人類驗證功能。當你去到某啲網站嘅時候，為咗證明你唔係機械人，就首先要通過點選 reCaptcha 驗證 box 入面嘅圖案，例如有幾多格有交通燈、貓，答中咗先可以去到指定網站或開始網購。而雲端安全解決方案供應商 Barracuda 最近就發表報告，多咗黑客利用真嘅 reCaptcha API 嚟提升釣魚攻擊嘅可信性，特別係搏取安全防護系統嘅信任添！ 先交代下 reCaptcha 呢項功能先，其實佢早喺 2003 年已被提出，不過當時只係叫 Captcha。後來團隊諗到用呢項功能行善，就係借助網民力量提升 OCR 光學掃描技術嘅準確度，於是計劃先變成…

香港電腦保安事故協調中心（HKCERT）剛啱發表咗香港第二季《香港保安觀察報告》，統計數字顯示釣魚電郵嘅個案，數字由第一季嘅 289 宗飊升至第二季嘅 1,306 宗，升幅高達三倍，其中有四成更係假冒 apple.com 及 icloud.com 嚟發送電郵。釣魚電郵之所以能夠歷久常新、講極都有人中招，都係因為黑客用咗唔少有創意嘅方法，去減低目標人物嘅警覺性。 最近網絡安全公司 ReversingLabs 又發現咗一個新趨勢，研究員指出以往釣魚電郵嘅欺詐方法，主要係透過引誘收件人點擊電郵入面嘅連結，然後去到一個冒牌網站例如 Apple、Amazon 或各大銀行等等，部分冒牌網站會整到同官網一樣提升可信性，務求令收件人輸入登入資料，黑客就可以盜用帳戶嚟購物或攞到信用卡資料。 千方百計呃人Login 不過，最近有黑客就改為喺附件到放置一個 PDF 檔案，電郵內容係提醒收件人嘅 Amazon 帳戶有一啲稅務費用，講明唔係收費通知，只係要求用戶登入檢查。由於喺美國…

如果失驚無神有日收到其中一個網站發出電郵叫你重設密碼，作為登記用戶，你第一時間會諗啲乜呢？到底呢封係釣魚電郵，定係網站洩漏咗用戶嘅帳戶資料至要重設呀？ 釣魚電郵係近年黑客最常利用嘅攻擊手段，所以一般人都對呢啲電郵提高警惕，唔會隨便點擊入面嘅連結。雖然網絡專家叫用家只要檢查清楚發信人嘅電郵地址係咪真確，又無暗中擺入假 link，就可以避免俾黑客暗算，但始終大家只係區區一介網民，有得揀都唔會亂 click 啦，何況仲要叫用家㩒掣重設密碼？ 講緊嘅係外國一個專門售賣二手鞋同古著嘅網站 StockX，因為犯咗一個輕微錯誤，搞到喺 Twitter 上俾網站會員瘋狂查詢。事緣最近網站升級，唔知係咪提升咗登入密碼嘅要求定係其他原因，所有登記會員都要重新設定密碼。StockX 為咗提醒用家呢件事，於是就發出電郵啦，但內容只係幾隻字交代網站升級，叫網民㩒掣重設密碼，然後就無其他資訊，試問網民又點會第一時間點擊？梗係要檢查下發出電郵嘅網絡、附帶嘅連結按掣有無古怪先啦。不過就算檢查完發現無錯，今時今日都要再做多次 fact check ，所以有網民就喺瀏覽器輸入官網網址，嘗試唔㩒個掣去睇下乜事，跟住就發現無法登入，一定要改密碼先。 謹慎嘅會員就懷疑到底點解要改密碼呢？係咪網站俾黑客入侵搞到會員資料外洩？所以就走去 Twitter 上 StockX 發生乜事，搞到 StockX 方面突然要回應好多人嘅查詢，澄清並無發生資料外洩，令到原本只係一件通知會員更新密碼嘅小事，升級成為關公事件。…

勒索攻擊要成功，最重要是準確找出「身有屎」的目標，過往有不少騙徒會透過濫發帶有恐嚇成份的釣魚電郵，例如指對方違反了國安條例、家屬在內地犯事、電腦內藏有違法內容等，一旦收件人相信跟自己有關，便會乖乖按騙徒指示匯款。不過，一個新的騙徒集團除了應用上述方法，還自製孌童網站引誘目標人士瀏覽，更容易嚇到「受害者」俾錢。 想知最新科技新聞？立即免費訂閱！ 一改傳統漁翁撒網方法 含有勒索意圖的電郵或短訊，相信不少人都曾接收過，不過，很多時訊息的內容未必與自己有關，因為大部分騙徒都採用漁翁撒網策略，但求電郵或短訊有機會被有關人士接收得到。有時這些詐騙訊息未必一定要錢銀有關，例如指收件者的社交平台違反使用條例，又或通訊軟件如沒有在限時內驗證便會凍結帳戶，目的有可能是搶奪受害人的帳戶後再進行其他詐騙，但使用這種手法都較為被動，必須收件人信以為真才能成功。 這次由網絡安全機構 MalwareHunterTeam 分享的報告中，便揭示了一個新的詐騙集團一改傳統漁翁撒網的方法，改為主動出擊，製造出一個冒牌的 UsenetClub 討論區，等待獵物到訪。正牌 UsenetClub 以討論區形式運作，用家可按不同的主題自由討論及貼圖，而當中一個主題便與兒童色情照有關，只要付費訂閱，用家便可在討論區內觀賞或下載有關照片，而且毋須透露任何個人資料。而騙徒打造的冒牌討論區 UsenetClub 亦實施二級收費，用家可選擇以每月 69.99 美元或每年 279.99 美元進入討論區內，但奧妙之處是網站提供一個免費方案，只要用家下載及安裝 CryptVPN 軟件便可免費使用，同時網站亦強調軟件可保障用家的網上行蹤，對這班違法的用家更具吸引力。 威嚇舉報對方收集兒童色情照…

網絡釣魚（Phishing）及商業電郵詐騙（BEC）攻擊無日無之，專注電郵安全的本地網絡安全公司Green Radar，發布 2023 電子郵件威脅指數（Green Radar Email Threat Index，下稱 GRETI），年度指數比去年高，反映電郵威脅風險持續上升。報告又揭露黑客頻密的進化手法，包括假冒香港終審法院、將二維碼（QR Code）「搓圓撳扁」等，藉此提高詐騙成功率。 想知最新科技新聞？立即免費訂閱！ 根據 2023 年本地數據分析，GRETI 年度指數為 69.7 分，比去年 66.5 分略為上升，本年度的網絡釣魚（Phishing）及商業電郵詐騙（BEC）攻擊繼續處於「高」風險級別水平，企業及機構應保持警惕。 Green…

釣魚電郵防不勝防，連本地一間網絡安全公司亦遭遇電郵騙案！該公司行政總裁月初收到合作公司的電子郵件，要求結清未付款項，由於電郵地址與之前發送的電郵地址相同，CEO 不虞有詐，轉帳 500 萬港元予對方，幸得銀行職員及時揭發騙局。 想知最新科技新聞？立即免費訂閱！ 涉案公司與另一間本地電腦硬體和軟體銷售公司素有生意來往，雙方一直以電郵溝通，包括付款要求。事發於今年 3 月 6 日，該公司的行政總裁（60 歲）接獲對方會計送發送的郵件，要求結清 500 萬港元。由於對方的電郵地址，與雙方一直使用的的電郵地址相同，故事主未有起疑，亦未有再次向對方公司核實。 翌日，事主再收到對方以同一電郵地址發送的郵件，聲稱其公司的銀行帳戶正接受審查，要求事主將款項匯至另一間銀行的新帳戶，涉案公司職員便按要求，以電子銀行轉帳方式轉帳 500 萬元。 銀行職員發現涉案公司大額轉帳到可疑戶口，主動通知事主，揭發騙案。事主即時報警求助，及時阻止匯款。警方隨即通知銀行凍結戶口，並展開調查。 唔想成為下一個騙案受害人？ 網絡安全公司Green Radar聯同…

根據 Cybersecurity Ventures 的統計數字，全球現有多達 350 萬個網絡安全職位空缺。隨著各行業對網絡安全技能需求持續增長，全球正面對網絡安全人才短缺的大趨勢。為加強培育新一代網絡安全人才，VTC 柴灣院校的網絡安全中心（CyberSecurity Centre），旨在透過提供專業且全面的網絡安全教育，培育具備專業技能及貼近市場需要的網絡安全人才。另外，中心開辦的資訊安全專業證書課程將於 4 月開課，獲批資助的申請人可獲退還合資格課程六成學費，有興趣人士可於 3 月 10 日前報名。 透過設施助學生累積實戰經驗 為回應市場對網絡安全專才的需求， VTC 柴灣院校設立了網絡安全中心（CyberSecurity Centre），中心提供先進的教學設施，以模擬各種在現實網絡環境中遇到的攻擊。例如使用網絡攻防靶場教授勒索病毒攻擊的補救方法 ，模擬常見網絡漏洞以學習黑客攻擊手法的滲透測試實驗室（Pentesting Lab），各樣工具例如安全資訊和事件管理工具（SIEM…

近年惡意軟件即服務百花齊放，要在芸芸競爭者中突圍而出，除了要做 marketing，亦要累積客戶口碑。近來就有一個網絡犯罪集團 OLVX 成功崛起，經過專家深入分析，發現這個黑客集團在多方面都做得出色，最特別是可讓客戶在落單前先驗證惡意軟件或外洩資料庫的真偽，再加上增值方法簡單。但專家就警告，方便背後隨時暗藏出金困難甚至最終會演變成退出騙局（exit scam）風險，到時就求助無門。 想知最新科技新聞？立即免費訂閱 ！ OLVX 近月變得活躍 首先發現 OLVX 集團的是網絡安全公司 ZeroFox 的研究員，他們在今年 7 月追蹤到這個集團開始在地下討論區上刊登服務廣告，OLVX 的主要業務是提供數千種惡意軟件及售賣外洩帳戶資料，方便客戶進行釣魚電郵或入侵目標企業帳戶。研究人員發現，集團在秋季開始變得活躍，無論是透過他們售賣或購買惡意軟件的人都有所增加。由於市場上有不少這類服務供應商，令研究員非常好奇為何 OLVX 能脫穎而出。 經過他們深入調查，發現集團在多方面都做得非常出色，首先是集團管理員雖然以傳統手法在地下討論區或…

近年人工智能（AI）技術發展蓬勃，各種應用服務如雨後春筍般湧現。不過，人工智能可說是一把兩刃劍，如落在黑客手上，便會帶來非常強大的破壞力。有見及此，中信國際電訊 CPC（以下簡稱 CPC）作為企業的 TechOps 信息安全賦能者，早前便舉辦了一場 CyberSecurity ReDEFINED 研討會，以人工智能重新定義信息安全為主題，邀請嘉賓分享人工智能攻防心得，讓業界及早為部署及提升整體防禦做好準備。 人工智能開拓企業商機 專才短缺引發安全風險 今次研討會的主題是重新定義信息安全，而當中人工智能技術更是不可或缺。經濟學人智庫總監 Edward Chui 指出，在過去的這一年，大家都親身感受到人工智能的快速發展，由以往相對簡單的應用如 Siri 智能助手、Netflix 的影片推薦功能，到過去一年的 ChatGPT 及各種生成式 AI…

雖則全球每日都在發生入侵企業事故，不過，其實很多時黑客並非通過搜尋 IT 漏洞達成任務，而是用更簡單的方法，例如花點時間騙取目標企業員工的帳戶登入資料，或索性用暴力破解（brute force）或密碼噴灑（password spraying）猜測帳戶密碼。 想知最新科技新聞？立即免費訂閱 ！ 根據《2023 年 Verizon 數據洩漏調查報告》提及，在 2021 年 11 月至 2022 年 10 月期間發生的數據外洩事件中，有 83%…