Work From Home 令打工仔和企業依賴雲端系統及網絡服務，遙距完成工作。Check Point 披露，微軟（Microsoft）成為黑客攻擊的頭位對象，微軟產品和服務所受的黑客攻擊之多，在今年第三季便佔了全球企業品牌網絡的釣魚攻擊近五分之一。微軟在第二季度所受的攻擊排五位（佔總攻擊的7％），一下子躍升至第一位，Check Point分析指，是基於新型冠狀病毒流行，令網絡釣魚者持續攻擊遙距工作族群。 而排在Microsoft之後（佔全球所有網絡釣魚攻擊的19％），依次為貨運公司DHL（佔9％）、 Google（9％）、PayPal（6％）、 Netflix（6％）、 Facebook（5％）、Apple（5％）、 WhatsApp（5％）、Amazon（4％）及 Instagram（4％），而其中 DHL 在今年首次成為遭受釣魚攻擊的前十名。 Check Point 分析亦發現，有44％的釣魚攻擊是以電子郵件傳遞，其次為網絡（43％）及移動裝置（12％）。而受電子郵件模式散播的釣魚攻擊，前三個品牌分別是微軟、DHL和蘋果；在網絡上依次為微軟、Google和PayPal；至於移動裝置，WhatsApp、PayPal 和 Facebook…

不少人都喜歡用網上設計平台 Canva 來製圖，成品製作過程方便而出品又精美，但是黑客竟然利用 Canva 分享功能，藉以加入釣魚網頁登陸頁面。Canva 允許用家建立 URL，將設計向朋友或同事共享檔案，加入在平台中協作設計，對方只要點擊連結，就會看到整個設計頁面。 而正正就是 Canva 這個功能讓黑客有機可乘！網絡安全公司 Confense 最近公布一份報告指 Canva 面對的威脅因素愈來愈大，指透過 Canva 創建的 HTML 登陸頁面，被利用作將受害者重新導向至虛假登入頁面。報告以一封假裝是 SharePoint eFax…

一場疫症，令工作模式、生態來個大變身，很多常規的訓練或技術都因時改變；而網絡安全相關的訓練，也需重新啟動接軌，以增強效率。有研究指出，針對釣魚郵件的應對訓練減少，辨識能力會隨時間下降，一個不留神就大件事。USENIX SOUPS上個月舉行的安全會議上，建議讓員工在釣魚行為的安全意識方面的訓練，每半年一次。 由於德國公共行政部門下的組織機構員工，需要進行強制性網絡釣魚意識培訓，當地多間大學因利成便，向409名隸屬國家地理信息及狀況部門 (State Office for Geoinformation and State Survey, SOGSS) 人員進行研究，以了解他們的訓練成效，以及他們的辨識能力會否隨時間而下降。這班受訪人員分成5個組別，並按他們接受釣魚意識訓練後4個月、6個月、8個月、10個月及12個月作測試。 研究人員發現接受測試的員工中，在接受訓練課程4個月後，仍能準確辨別釣魚電郵，但在接受訓練課程6個月或以上的群組，就需要重新再接受訓練。與此同時，研究小組亦設置四種形式「補習班」，包括文本、影片、互動例子、短文，為這班受訪者在受訓後6個月後及12個月後，補充防釣魚知識。四種補習班的內容中，以影片及互動例子效果最顯著，影響力能維持至少6個月。 學者總結出持續讓員工接受釣魚辨識訓練，能有效地協助其所屬部門阻擋部分攻擊，只要定期每6個月進行重複的訓練，並交替以不同的方式如影片及互動例子等，便能持之有效。 資料來源：https://zd.net/3mPZmog

Instagram和Twitter等社交媒體基本上人人都用，就在大家沉醉於網絡世界之際，詐騙集團亦蠢蠢欲動，不斷侍機找機會騙取用戶資料，例如指用戶違反版權，或者向用戶發出身份認證的藍剔等等，Bleeping Computer聯同 MalwareHunterTeam， 披露在以上兩個程式出現的最新詐騙手法，讓大家加以提防： 1. 假認證釣魚網頁 近期最常見的釣魚網頁是要求用戶輸入包括密碼等登入資料，這類型的詐騙在 Instagram、Twitter 及 Tiktok 均有出現，而網頁中多有 “verify” 和 “badge” 等字眼，所以要當心要求身份認證的連結。 2. 虛假違反版權指控網頁 這類網頁多數「指控」Instagram及Twitter的用戶的貼文違反版權問題，並稱24小時內將會鎖定帳戶，要求他們登入指定網址，以提出版權索償異議。這些釣魚網站會展示用戶的個人頭像，令其像真度提高，在網站內要求用戶輸入電郵資料及密碼，藉以取得受害人電郵帳戶控制權及其他聯絡人的資料。 如果不慎誤中釣魚陷阱並曾輸入個人帳戶資料，切記立即登入自己的帳戶並更改密碼，並且開啟多重認證的功能，以防騙徒進一步盜取其他帳戶資料。 資料來源：https://bit.ly/368VdGl

面對陌生電郵大家可能有防備心，黑客都深明這個道理，所以也著力以不同方法，蒙騙受害人的眼睛，利用知名企業的牌頭發出信件，以圖令更多人中招。近日有電郵防護公司Confense進行打擊釣魚電郵活動，藉假冒知名資安培訓（Security Awareness Training）公司KnowBe4，發出培訓活動提示，但實際上這是一封「釣魚電郵」，旨在提醒用戶不要中招。但驟眼看來幾可亂真，而且還會自圓其說 ⋯⋯ 釣魚攻擊老是常出現，所以資安培訓公司提供課程，讓企業可安排員工上堂，以判斷惡意攻擊電郵。Confense以假冒KnowBe4名義，模擬黑客手法，發出電郵邀請接收者登錄防止釣魚行為培訓，並以課程提示加上截止日期作為信件主題，要求參加者24小時內回應。 正所謂「做戲做全套」，電郵內還鄭重的提醒一眾會員，活動不能在KnowBe4的平台登記，而附帶的連結是外部連結，試圖降低收件人戒心。當他們點進網頁，便會要求他們輸入個人 outlook 資訊作登入用，繼而索取更多個人資訊及電郵密碼等。即使曾接受辨別釣魚電郵訓練的人，稍一不留神，也有機會中招！ 除了可依靠電郵防護公司的服務，阻擋這類假電郵落入收件箱外，亦可參考以下自保招式：細心留意信中附有的URL是否有古怪，倘有懷疑即聯絡網絡管理員，以確認電郵的真確性。而如果這是辨識釣魚電郵的訓練，收件人又能成功洞悉「奸計」，便可以放膽通知負責人，順利通過測試了！ 資料來源：https://bit.ly/2FFpq4N

成日都話要加裝新一代電郵防護系統，究竟有幾重要先？答案係因為黑客經常搞新意思，用唔同手法避過傳統電郵防護之餘，減低你嘅警覺性，一唔小心 click 咗入面嘅連結，輸入的帳戶登入資料就好易被偷。好似新一波釣魚攻擊，就直頭喺真嘅官方網站上造假，問你點防備？ 根據 Cofense 最新的釣魚攻擊調查，發現有黑客開始利用一種常見於 Android 手機上、專門用作偷銀行或信用卡資料的疊影﹝overlay﹞技術。黑客首先會假扮成目標人物嘅 IT 部同事，發出電郵指佢嘅郵箱正被隔離，如果唔點擊連結登入，就會喺指定時間刪除所有郵件，令目標人物即刻做嘢阻止慘劇發生。 而當目標人物點擊連結後，就會跳轉去一個同佢相關嘅網頁如公司官網，舉例用緊 Microsoft 電郵，就會去到真正嘅 Microsoft Outlook 版面，再巧妙地喺上面覆蓋一個登入帳戶視窗，同時預先輸入目標人物嘅電郵，大大增加輸入資料嘅可信度。由於網站係原裝正貨，所以就算目標人物識得去檢查網址有無古惑嗰陣，都唔會查到啲乜嘢，結果就會信以為真，乖乖交出登入密碼。 在真網站上疊加假登入帳號視窗 好喇，咁加裝新一代電護防護工具又有乜用呢？我哋請教咗本地電郵安全專家 Green Radar，以旗下的…

釣魚攻擊（Phishing attack），絕對係成本低、回報高嘅熱門網絡攻擊。雖然釣魚攻擊仲可以分為魚叉式（Spear Phishing）及商業詐騙（Business Email Compromise）等，但由於係針對指定對象攻擊，黑客要投入更多時間去理解偽裝角色同受害人的關係，所以無釣魚攻擊咁普遍。一般嚟講，無差別攻擊主要係用作盜取帳戶登入資料，例如 Microsoft Office、PayPal 等等，黑客首先會偽造相關網站登入版面，再用電郵將連結漁翁撒網式寄出去，等待獵物上釣。一旦收件人誤信連結內容為真，就可能到偽造網站親手輸入自己嘅登入資料，黑客就可以入侵相關帳戶。受害人不單止可能遭受信用卡盜用損失，如果係公司帳戶資料，更會連累公司機密資料外洩添！ 為咗研究釣魚攻擊喺今年頭半年嘅特色，網絡安全公司 IRONSCALES 研究員就對相關嘅偽造登入網頁進行調查，結果發現頭半年有超過 5 萬個假網站，冒充超過 200 個全球知名品牌。其中被冒認得最多嘅 5 個品牌，分別係 PayPal、Microsoft、Facebook、eBay 同埋 Amazon，而…

係人都知，黑客嘅釣魚攻擊不嬲都會用時令嘢嚟做主題，引多啲人跌入陷阱，所以收到嘅釣魚攻擊嘅主題都會有季節性。而 Apple 由於長期有新產品推出，所以經常排喺被利用榜嘅首位。不過 Check Point 最新嘅 2020 年 Q2 被釣魚攻擊利用品牌排行榜，就發現 Apple 由上季第一位插水式跌到落第七位，得返 2% 使用率⋯⋯ 雖然係例牌調查報告，不過從中都有啲啟示，上一季報告入面，電郵只係最常見渠道嘅第三位，今季就升上第二位，同手機渠道換咗位。專家認為上季手機被利用得多，主要因為 COVID-19 改變咗大家嘅日常生活，喺無得返工嘅情況下多咗用手機上網；而隨住各國嘅禁足令解封，啲人開始返公司做嘢，經電郵發動攻擊嘅數量亦因而上升。 而喺十大被利用品牌方面，Apple 就由上季第一位跌落第七位，同 Netflix…

一句到尾，釣魚攻擊嘅方法雖然萬變不離其中，不過，引人上吊嘅餌就好有彈性，而且仲好貼市況添。例如早排新冠疫情爆發，黑客就利用疫情資訊增加收件人開附件或點擊連結嘅機會；WFH 令視像會議使用量大增，釣魚電郵嘅主題就變成 Zoom 之類嘅會議邀請。而最新嘅釣魚電郵主題，就輪到視像娛樂服務供應商 Netflix 喇。 Armorblox 網絡安全研究員指出，最近利用 Netflix 為主題嘅釣魚電郵數量大增，黑客企圖令 Netflix 用家相信付款系統出咗問題，要更新信用卡資料。為咗避開傳統電郵防護工具，黑客今次就利用 Captcha 嚟增加可信度，令防護工具誤以為電郵內附連結只係跳去一個合法嘅 Captcha 反機械人驗證版面，而唔將電郵歸類為惡意電郵。但事實上，經過驗證後再跳轉嘅網站，先至係假嘅 Netflix 登入頁面。呃完防護工具，黑客亦精心打造咗一個同 Netflix 一模一樣嘅頁面，雖然專家話頁面上所有連結最終都係跳去信用卡資料更新版面，但用家可能無咁細心，結果就親手將信用卡資料交俾黑客。…

「你已被限制出境……」 嚟自「入境處」嘅預錄語音詐騙電話，相信大家聽完都唔會上當。但若然今日你收到電話，傳嚟老闆嘅聲音，指示你幫公司轉帳到其他戶口，相信唔少自稱 Small potato 嘅順命打工仔都會乖乖照做？殊不知⋯⋯一切都係黑客嘅最新釣魚攻擊— AI 偽冒語音術！ 咩係 AI 偽冒語音？ 之所以偽冒到其他人，原理在於人工智能的深度學習技術，有別「入境處」所用的傳統文本語音轉換技術（Test-to-Speech，簡稱 TTS），AI 系統每日只需分析一個人幾分鐘嘅錄音檔，湊夠兩個鐘就可以偽造出極似「真人」嘅合成語音。日常應用大家都應該唔陌生，例如 Apple Siri，Amazon Alexa，以及汽車導航系統等生活例子。 而黑客則將之演變為「語音釣魚」詐騙術！由於現時 AI 合成語音技術可謂垂手可得，想要各大軟件甚至製作 AI…