用戶私隱資料外洩事件經常發生，而且閒閒哋都幾百萬筆資料外洩，究竟自己有無榜上有名呢？不妨試試用 HIBP （Have I Been Pwned？） 網站同埋 Google 推出嘅 Password Checkup 工具，就可以知道自己係咪有需要即刻換過新密碼喇。 HIBP 快速測試 「Have I Been Pwned？」網站係由微軟嘅安全研究人員 Troy Hunt…

每逢有網絡保安事故，本地傳媒都會即時搵保安專家評論事件。這些被行家視為「傳媒好友」的專家不多，因為解答不單要快，意見亦要準確簡短，才能幫助記者搶先報導事件。如果言論能再帶有一點幽默感，自然更易成為傳媒寵兒。香港互聯網協會網絡保安及私隱小組召集人楊和生就是其中之一，原來當初他踏入電腦界全因為懶，誰不知現在卻是最忙的職業。 輸在起跑線 早於 1990 年讀大專一年級時，楊和生已開始接觸電腦，「那時讀電腦工程，喜歡寫電腦程式只因為懶，因為發現有很多重複性的工作毋須人手處理，例如要處理一大堆文件檔案的排版，其實只須編寫簡單的程式，就可交由電腦自動執行。」令他沉迷鑽研電腦程式的原因，除了他宅宅的沒有其他嗜好，還與他的電腦設備輸在起跑線有關，「以前無錢，所以第一部電腦的硬件配備比同學差很多，例如別人的電腦用 386 （Intel 處理器型號）、1MB RAM，我就只用 286 及 640KB RAM，連電腦屏幕也只得黑白。」眼見朋友的電腦可以做到很多東西，楊和生亦想試試自己那部弱弱的電腦可否做出接近的效果，所以便花了很多時間練習寫程式，蒲深水埗黃金電腦商場買書自學一些破解技術，「當時完全無黑客的概念，只是有興趣試試修改程式，例如修改電腦遊戲內的生命值、武器防具等，雖然自己完全沒有打機的嗜好……」 後來有朋友移民美國，楊和生為了保持通訊而連上互聯網，才從不同渠道認識黑客這回事，「不過那年代接觸的黑客技術並非以破壞為目的，只是大家互相分享一些程式的漏洞，例如當時互聯網供應商使用的 FreeBSD 作業系統，就有各式各樣的破解玩意，雖然有些成功有些失敗，但我已可讀取到其他用家的電郵地址及內容。」掌握到這些個人私隱，有心人其實已可利用來進行社交工程（Social Engineering）攻擊，楊和生則笑說可能自己沒有犯罪基因，所以即使讀取到伺服器內的電郵內容，也僅僅是滿足了自己的成功感，未能發現偉大的「錢途」。 大專時經常蒲黃金的結果，就讓楊和生認識了一班「砌機佬」，後來其中一個相熟的店員在商場內另起爐灶，順理成章便邀請他一同開檔。「那時賣電腦很好賺，一套電腦可賺取四成利潤，有時講價可以減到幾百蚊，不似現在只賺到百多元，想平幾蚊都難。」賣電腦的好處，就是可以接觸最新的電腦資訊，同時以平價入貨，「所以第二部電腦已是當時頂級的 486，一下子由最慢變成最快。」無論上學或兼職都與電腦有關，讓他打穩了電腦編程的根基，所以出來工作後，編寫程式的技術及速度亦較人高及快。 隱密攻擊…

過咗農曆新年，又係打工仔求變嘅旺季。作為IT從業員，為咗提高被獵頭嘅機會，自然識得利用 LinkedIn 等職場社交平台去增加曝光率。不過有資安機構就警告，自從上年中開始，發現越來越多黑客利用呢個平台，誘騙求職者開啟惡意連結或附件，從而下載及安裝 More_Eggs 木馬程式喺對方嘅電腦入面，成功操縱受害人嘅電腦。 首先黑客會喺 LinkedIn 開一個虛假職業仲介公司帳號，然後誘騙目標人物建立關係；相隔一個星期，黑客就會發出一個載有招聘職位資料嘅電郵，要目標人物打開連結，進入預設嘅虛假網站，下載及開啟 Microsoft 文件檔或 Javascript。只要目標人物打開檔案或允許執行 Macros 指令，接住落嚟系統就會自動執行安裝木馬程式指令；另一個情況係電郵內會附有一個無法開啟嘅 PDF 檔案，誘騙目標人物打開旁邊嘅連結去虛假網站。 雖則話騙徒手法層出不窮，但今次呢條橋其實一啲都唔創新，中招嘅原因主要係出喺人心之上。奉勸各位準備搵工嘅人士，千祈唔好咁容易打開陌生人提供嘅連結，否則只會得不償失。 資料來源：https://bit.ly/2EaZbi0

無檔案惡意程式日益嚴重，多少因為現今的防毒工具偵測能力越來越強，相對而言無檔案惡意程式較難被偵測，而且可長期匿藏兼無限復活，非常難纏。根據報導，針對企業的攻擊得逞案例當中，有 77% 是無檔案惡意程式攻擊，大家要認識這種攻擊方法，加倍提防。 甚麼是無檔案惡意程式 無檔案惡意程式（Fileless Malware）是一種利用既有軟件、被認可的應用程式如 Microsoft Word、Flash、Adobe PDF Reader、JavaScript 甚或系統工具如 Microsoft Windows Management Instrumentation (WMI) 、PowerShell 之類去執行惡意行動的網絡攻擊。它不似傳統的惡意程式那樣帶有明顯特徵，亦不以電腦硬盤為目標，尤其針對記憶體進行攻擊，其隱蔽性極高、匿藏期長，一般 whitelisting、signature detection、hardware…

小米米家電動滑板車以「自由穿行，一路美景」、「簡約幾何設計，1 分鐘輕鬆上手」、「30 公里超長續航」、「雙重剎車系統」、「便攜折疊」為賣點，售價 1,999 人仔，非常吸引。這款平靚正電動滑板車亦廣受用家愛戴，國內外米粉以此自由穿行，一路美景。 不過，《The Hacker News》收到手機安全公司 Zimperium 的報告，發現小米米家電動滑板車 M365 存漏洞，可讓黑客輕易控制電動滑板車，危害駕駛者性命。 隨 M365 電動滑板車使用的手機程式「智能管家」可以通過藍芽連接，化為儀表板，對當前騎行速度、剩餘電量等進行實時查看，對滑板車進行固件升級。手機程式亦可設定密碼、反偷車，更可發出指令，匹配設定的速度，作定速巡航。 「智能管家」可以通過藍芽連接電動滑板車，化為儀表板。 不過，研究員發現密碼設定只在手機程式端有效，而滑板車端並不作憑證狀態追蹤。如電動滑板車密碼設定不當，可讓黑客於 100 米範圍以藍芽發出未受權的指令。如黑客心懷不軌，可以發出非常危險的指令，令電動滑板車突然鎖車、加速、剎車，亦可載入惡意程式完全控制電動滑板車。 Zimperium…

駭客攻擊固然可惡，但人為的低級錯誤也本應可以避免，預防爆發一些顯而易見的危機。面對外憂內患，企業又應該如何做好資料保護措施，保障用戶個資免受駭客盜取，同時保全公司免觸犯 GDPR 而被開罰？ 一、定期更新軟體 最基本的就是定期更新軟體。駭客技術雖然日新月異，但 antivirus（防護軟體）或其他軟體同樣與時並進。每次韌體更新除了一般除錯外，也有很多是為了填補已存在的資安漏洞或防禦新型病毒而進行的。 二、加入多重身份認證或生物認證 Broken authentication 是網路資安問題的第二大主因，而要做好身份認證這一步驟，除了傳統輸入密碼以外，現時已經有很多加強保安的驗證方式，比如雙重認證 (Two-factor Authentication, 2FA) 讓用戶輸入密碼後需要加上第二重認證步驟，常見的工具有： TOTP (Time-Based One Time Password)：透過時間因素產生不一樣的一次性密碼，像是 Google…

根據全球知名的資安組織 OWASP (Open Web Application Security Project) 定期公佈的十大網路資安風險報告，去年最新報告中，「失效的身份認證 (Broken Authentication) 」高踞第二名。另外 IBM 今年四月公佈的《X-Force Threat Intelligence Index 威脅情報指數》報告中則指出，跟雲端基礎建設設置不當相關的資料洩露就比前一年大幅增加四倍，而且絕大多數是人為錯誤。至於資安業者 Palo Alto Networks…

勒索軟件肆虐全球，著名的有 WannaCry、NotPetya、Locky、LeakerLocker 等，而 PyLocky 主要於歐洲肆虐，重災區為法國，不過 PyLocky 有英、法、韓及意大利版本，顯示此勒索軟件亦針對不同語系受害者。 透過垃圾電郵散播，能避過沙盒偵測 PyLocky 於去年發現，屬變種 Locky 勒索軟件，散播途徑主要透過垃圾電郵及釣魚電郵，誘騙受害者開始連結，觸發惡意程式。PyLocky 會進入睡眠狀態 999.999 秒或 11 日半（如受害系統記憶容量只餘 4GB 以下），以避過沙盒偵測。PyLocky 以…

一間公司面對最大網絡安全問題，可能不是網絡攻擊，是資源，不論大中小企業，同樣頭痛。Andrew Lam 從事網絡安全行業多年，盡見這種困境。「而且不是純粹資金問題，更是人手問題。就算公司有錢買網絡安全產品，沒有人手及技術去管理，也是枉然；事故發生又冇人理，更是徬徨無助。」與其要客戶購入網絡安全產品而不懂管理，Andrew 認為不如為他們提供最專業的服務，幫助他們，Green Radar 因此誕生。「我們以 as-a-service 服務形式提供網絡保安支援，當客戶遇上困難的時候，亦有專業團隊提供協助，而定價時也考慮到企業的難處。」最新面世的 Green Radar，以 MDR（Managed Detection and Response）為基礎，帶來革命性網絡保安方案，先天下之憂而憂，救企業於水深火熱。 針對網絡環境，重點設計方案 Green Radar 要解決企業缺乏資源及專業人才的問題，先重點針對現今的網絡環境去設計方案。「環顧現今的網絡攻擊，其實超過 80％ 源於電郵。不少釣魚電郵手法極高，驟眼一望，有時候連專家都難分析真偽。」針對性釣魚電郵更難防，遇上這類攻擊，必須要有一定的危機處理措施。「一般的電郵服務就未必照顧到針對性釣魚電郵，何況很多老闆的電郵是交給秘書處理，要這個秘書分析真假電郵、偵測病毒根本是強人所難。」Green…

雲端技術的出現，推動企業加速數碼化，更進一步實現真正全球化。發展至今，雲端已經不再是個選項，而是必然。Sereno Cloud 成立的理念，就是幫助客戶突破資源及地域限制，將業務帶到世界每個角落。 善用雲端，衝出香港 「我們原本主要做 SI，為客戶提供傳統 IT 服務。」Wing Yee 本業是 SI（System Integrator），於 2013 年見到各種雲端技術相繼出現，覺得可以真正幫助客戶衝出香港，於是成立 Sereno。「Sereno 是 Cloud Enabler，或者叫做 Cloud Brokerage。我們提供…