專家發現，部分採用電子商務系統 Magento 的網購平台再被黑客入侵，新的攻擊手法會將客戶的信用卡資料加密後放入 JPG 圖像，然後才外送至黑客操控的 C&C 中心，令網購平台及網絡安全工具難以發現！ Magento 一向是網購平台喜愛採用的系統，因為它的功能較豐富，但亦同時成為黑客攻擊的目標之一，例如專用盜取信用卡資料的黑客集團 Magecart 就是當中的表表者，曾一度入侵超過 200 萬個使用了 Magento 的網站。此外，Magento 在上年 6 月停止對 1.x 版本作技術支援後，有黑客更在網上公然兜售…

一個黑客組織入侵了安全防護系統初創公司 Verkada 的大約 15 萬個聯網內的監控鏡頭，使他們能夠取得多個組織的實時和存檔影片信號，包括生產設施、醫院、學校、警察部門和監獄，更包括 Tesla。據報道指，黑客主義者 Tillie Kottmann 宣稱是事件負責人之一，向 Bloomberg 披露這次資料入侵行動是一間國際黑客團體所為，目的是為了展示無處不在的視訊監控，以及攻入這些系統輕而易舉。此說法引起爭議，專家正權衡如果安全錄像洩露落入不法分子手中，受害組織可能遭遇的潛在後果。 影片資料洩露可能會導致知識產權盜竊、人身安全威脅、侵犯隱私、敲詐勒索，或許還會受到監管部門的懲罰。更糟糕的是，這些攝像頭採用了面部識別技術，導致了以下問題：攻擊者是否可以真正識別被攝像頭捕捉到的個人，然後將他們作為社交工程（social engineering schemes）或更恐怖計劃的目標。 Bloomberg 查看被盜的 Verkada 影片，包括據指是上海 Tesla 倉庫的裝配線上的工人圖像。不過，Tesla 後來告訴路透社，這段影片實際上是來自供應商在河南省的生產基地，其上海工廠及展示廳未受影響。不過，Kottmann 表示，他們仍能獲取安裝在 Tesla 工廠和倉庫中的 222 個攝錄影像。根據報道，網絡性能公司 Cloudflare 和身份權限管理服務提供商 Okta，被指也在工作場所使用 Verkada 的服務。…

iOS 其中一款下載次數逾百萬的通話錄音 app 「call recorder」，被安全專家發現竟然存在身份驗證漏洞，開發商儲存於AWS雲端上的用家通話記錄及通話錄音，都可以通過修改 API 指令，被黑客隨意竊取，好兒戲喎！ ClubHouse 語音社交平台早前被爆漏洞，有心人可以闖入不同房間錄音，再將用家對話的語音檔上載網上分享。雖然用家在房間內的公開發言，都會預計有可能被錄音，所以未必有太多機密訊息，但在不知情下被竊聽，感覺始終不太愉快。不過當換轉通話錄音 app 出現安全漏洞，情況就完全不同，因為使用錄音 app 一般都有工作需要，例如記者做電話訪問、同客戶開會等等，當中總涉及一些機密資料。而 PingSafe AI 網絡安全研究員 Anand Prakash 最新發現的安全漏洞，便與 iOS 其中一款下載次數逾百萬的通話錄音…

微軟上周發出警告指，黑客使用一種名為 DearCry 的勒索軟件，現在將未有修補程式的 Exchange 伺服器作為目標，這些伺服器仍然存在四個漏洞，這些漏洞已被可疑的中國政府黑客利用。微軟再次警告 Exchange 客戶，應使用上周發布的緊急修補程式，以解決影響 Exchange 電郵伺服器的嚴重漏洞。 微軟早在 3 月 2 日時敦促客戶立即安裝修補程式，因為未來數周和數月內，將面對更多的網絡犯罪分子或有國家支持的黑客，利用這些漏洞入侵的風險。微軟指，現時的攻擊是由一個名為 Hafnium 的中國黑客組織所為。安全服務供應商 ESET 就指，至少有 10 個國家支持的黑客組織，正在嘗試利用未有修補程式的…

個人資料外洩事故經常發生，不單只企業遭殃，就連黑帽黑客聚集的地下討論區同樣失守。除了俄羅斯其中一個最大的地下討論區 Maza 的會員被起底，其他知名地下討論區如 Verified、Dread 及 club2crd 亦同樣被入侵，到底邊個搞鬼？ 早前網絡安全資訊網站 BleepingComputer 接獲告密，一個新開設的 Twitter 帳戶用家指俄羅斯地下討論區 Maza 被入侵，更附有一張顯示 Maza 會員資料的截圖，告密者說該外洩資料包括 2,982 位會員的帳戶名稱、電郵地址、密碼、證書名及密碼，以及該批會員用作聯絡的 icq、Yahoo、MSN 及…

令學校停課的原因，我們以往會聯想到打風、暴雨等天氣因素，現時最先想到的會是疫情下的隔離措施，不過可有想過黑客的勒索軟件，也是導致學校停課的原因？不法分子攻擊學術機構，然後開天殺價！ 網絡安全公司 BlueVoyant 早前對 43 個國家/地區的 2,702 所大學進行研究，發現幾乎所有受訪大學，都指出勒索軟件攻擊是他們主要的網絡威脅，去年這些勒索軟件攻擊，平均每宗索款 44.7 萬美元（約 347 萬港元）。除了勒索軟件攻擊之外，數據洩露也對校園造成了極大的打擊，過去兩年有 200 所大學受到影響。 以下係 BlueVoyant 研究的部分發現： 校園受攻擊因素： 隨著學術機構採用遙距教學，網絡攻擊次數增加，也令學校的網絡容易受到威脅者的攻擊。地下市場對大學生的憑證有很高的需求，吸引黑客發起攻擊。缺乏網絡安全培訓和意識、缺乏資源以及預算低，是學術機構經常受到攻擊的主因。 攻擊數據：…

wepro180 （下稱”本平台”）一直以來都為提升香港企業的資訊保安意識不遺餘力，經常揭穿不法黑客的最新騙局及手法，並團結業界對抗網絡攻擊。最近，竟然有不法份子欲利用高針對性的釣魚電郵攻擊本平台，不過，黑客當然無功而還，而且「掂都掂唔到」本平台的電子郵箱。今次可以輕鬆將釣魚電郵徹底封殺，確實要感謝本平台一直採用的電郵防護專家 Green Radar (下稱”GR”)。 事緣，日前有黑客想把一封假冒雲端服務供應商的釣魚電郵寄予本平台一位員工，該釣魚電郵像真度極高，明顯事前有專人針對目標進行過內容調整，可謂居心叵測。不過，雖然黑客手法看似高明，卻完全無法接觸本平台任何人士，因為GR早在該釣魚電郵進入本平台的電郵系統前識破黑客的詭計，把該釣魚電郵徹底隔離於千里之外。 而且GR的隔離中心專員，亦極速向本平台的IT部發出警示，更貼心地拆解黑客是次攻擊的手段，非常抵讚！ 就此，本平台訪問了Green Radar安全業務策略執行副總裁林德齡(Andrew Lam)，講解GR到底利用了甚麼技術，輕鬆擊退不法份子。Andrew解釋，這種電郵攻擊名為「魚叉式釣魚攻擊」，相比以往一般釣魚攻擊的「廣撒漁網」方式，魚叉式釣魚攻擊近年備受黑客傾睞，它最大的特點是具有針對性，可大大提高「上釣率」，以竊取個人資料爲主要目標，譬如今次攻擊就假冒本平台的雲端服務商，發送相關通知電郵給本平台的員工，誘使員工進入其精心炮製的釣魚網站，以盜取帳號資料。無論是電郵中的內容或是網站，都爲本平台度身訂造的內容。 為讓大家更容易理解黑客的手法，本平台決定公開該釣魚電郵的真身，以下為假如沒有GR保護下，在 outlook 看到的畫面： 可見黑客假冒的雲端服務商，以收取新電郵爲由，誘騙收件人登入連結。 假如收件人不小心點擊電郵中的連結，便會進入像真度極高的假冒雲端服務商登入界面，誘使用家輸入密碼資料。 Andrew 亦指出，針對此類攻擊，Green Radar grMail 電郵安全解決方案可提供三重防護，第一層由grMail深度學習模型剖析電郵內容及網站，檢測是否有異常情況。第二層由Green…

香港金融管理局 (HKMA) 於去年 11 月推出的加強版網路防衛評估架構「C-RAF 2.0」，特別在產品開發周期上提升了合規要求。全球第七大軟件公司 Micro Focus 夥拍香港系統整合商 Resolve Technology，推出 Fortify 解決方案，可確保金融業將安全性在開發流程中的位置「左移」(shift left)，貫通整個流程，金融業就可放心推出新服務，提升競爭力。 新服務成金融業致勝關鍵 作為亞洲金融中心，香港的金融業均積極引入各種金融科技，同時致力縮短產品開發周期回應市場的需求。不過，企業安全產品代理商 B & Data 總經理…

一方面，遠程工作、IoTs、網民秒秒遞增；各路黑客的交流平台由 Dark Web 擴展到 Clubhouse 等不同社交平台；裝置網速工具急速演化；雲端、Hybrid Cloud、Edge Platforms 將數據進一步集中，唯獨法規與執法效率追不上時代步伐，國家隊黑客卻諷刺地例外。事實上，企業在資安上一向都靠自己，但在 COVID-19 後擔子史無前例重，2020 年末 Solarwinds 中伏，向其近 2 萬客戶無料放送 Sunburst Malware，幾多人受影響未知，但美國國務院、國防部、軍火供應商、重要電訊商與大學院校均在名單之上，美國政府矛頭指向俄羅斯，是否開打網戰大家不妨買花生，但我們先談談企業資安部署困境。如果這宗事件仍未夠警世，Cybersecutiry Ventures 報告指…

為了避開電郵防護工具攔截，黑客可謂奇招盡出，安全專家警告，有10,000個Microsoft電腦服務帳戶，被新一輪仿真度極高的釣魚電郵襲擊。黑客除了冒充FedEX、DHL等速遞公司發出電郵，更避開使用容易被防護工具判斷為釣魚電郵的發信伺服器、電郵主題及內容，更利用Google Firebase及Quip等免費服務，令電郵變得身家清白，極容易受騙。 電郵防護服務供應商Armorblox最新報告顯示，黑客看準市民在疫情下經常使用FedEX、DHL等速遞服務，於是便冒充有關公司大量發出釣魚電郵，企圖提升收件人打開電郵內連結或PDF檔案的成功率，進而騙取收件人的Microsoft帳戶或公司帳戶的登入資料。雖然攻擊手法看似跟以往的釣魚釣擊相似，不過專家指出無論在電郵內容的仿真度上以至其他配套，就較以往的釣魚電郵更精密，以及會使用更多免費的合法工具去逃避電郵防護工具的偵測。 先說說電郵防護工具的運作原理，傳統工具的系統除了會比對電郵內有否已知的惡意元素，例如發信方的電郵地址、伺服器、電郵主題及內容等之外，還會掃描附件或內裏的連結有否可疑之處，如發現有問題便會攔截下來，再交由收件人去決定如何處理郵件。新的電郵防護工具或會提供沙盒(sandbox)功能，讓用家在有需要時於完全隔離環境打開郵件，以免電腦設備在過程中受到感染。 黑客由於熟知上述防護原理，因此在製作釣魚電郵時，便會避開可疑元素，例如避免在電郵內使用Urgent等字眼，減少被系統攔截的機會。而今次Armorblox發現的新釣魚電郵，更將經連結跳轉的虛假帳戶登入頁面，寄存在合法的免費服務上，例如Google Firebase及Quip等，由於寄存位置可信，再加上偽造的頁面逼真得沒有漏洞，於是便能獲電郵防護工具放行。 安全專家指出，有證據顯示愈來愈多釣魚攻擊會將跳轉連結的虛假頁面或惡意附件檔，寄存在合法的免費服務上，警告電郵用家要進步提高警覺，不要誤以為電郵防護工具能夠百分之百攔截釣魚電郵或其他攻擊，最重要是要細閱電郵內容，如有任何可疑之處便絕不能打開附件或點擊任何連結。 資料來源：http://bit.ly/3pNuOUt