金融機構及其客戶，一直是網絡罪犯的頭號攻擊目標，最常用的攻擊手法便是釣魚電郵（phishing）或更專門的魚叉式電郵（spear phishing），因此金融業界要保護客戶，便必須從電郵安全方面著手，例如準確設定各種電郵驗證技術，防止罪犯冒充銀行發電郵進行詐騙。 正確啟用電郵安全功能，最大好處是只有金融業界發送給客戶的電郵，只能從核實的郵件服務器發出，令犯罪分子只能註冊使用類似的網域發送電郵，只要收件者夠細心，便能從網域上分辨真偽，再者亦容易被電郵防護工具的威脅情報所過濾，減低詐騙電郵的成功率。不過，並非所有金融服務都會引入這些安全措施，其中聯邦信用合作社（Federal Credit Union）便沒有足夠防護。根據 IntelFinder 最近進行的一項研究顯示，在 300 個 FCU 機構中，只得 8% 啟用了強大的電郵安全工具。 IntelFinder 專家特別檢查了FCU 機構中的 SPF 和 DMARC 記錄是否存在，以及…

Microsoft 專家警告，依然採用舊式驗證 (legacy authentication) 技術管理 Exchange Online 的企業，即使啟用多重因素驗證 (MFA) 服務，都有可能被黑客入侵帳戶，最近就有一宗商業電郵詐騙 (BEC) 案例，就是因為上述原因而出事…… 根據 Microsoft 的官方描述，舊式驗證指的是使用基本驗證的通訊協定，而採用相關驗證為基礎的應用程式包括舊版 Microsoft Office 應用程式及使用 POP、IMAP、SMTP 等郵件通訊協定的應用程式。由於舊式驗證無法強制執行多重因素驗證…

愈來愈多人投身 YouTuber 行列，但有否想過，YouTuber 也可能成為黑客的網絡攻擊對象？近日本港便有 YouTuber 懷疑被黑客入侵帳戶，黑容除了利用其頻道進行直播，更將受害人數以百計嘔心瀝血製作的影片，一一變成不公開。受害人推斷，事件可能跟黑客盜取其 Session ID（工作階段識別碼）有關，但亦有網絡安全專家不明白，系統雙重驗證（Two-Factor Authentication, 2FA）為何未能發揮帳戶保護功效。 懷疑受到黑客攻擊的 YouTuber「希比」，在 YouTube 平台經營個人頻道「HEBEFACE」，經常製作及上傳影片，介紹港產片經典場景，頻道獲超過 6.3 萬人訂閱。希比接受本網訪問時表示，大約一星期之前，他收到粉絲通知，懷疑 HEBEFACE 頻道被入侵，他查看後發現，有人正利用 HEBEFACE 頻道進行以太坊相關的直播，「我於是馬上更改登入密碼，但之後對方仍然可以控制到我的帳戶，我更眼白白看著他將我的影片變成不公開。」希比表示，當時自己依然可以控制帳戶，包括將影片設定回公開，可見對方只入侵而沒有奪取其帳戶，情況相當特殊。…

疫情期間，為了讓員工可以在家工作，不少企業都會購入協作平台工具，而在名牌效應下，揀選 Microsoft 365 的企業亦特別多，不過，有調查顯示 Microsoft 365 用家在這段期間發生的電郵外洩事故較其他工具高一倍，15% Microsoft 365 用家更曾發生 500 次數據外洩，遠超其他工具的 4%…… 電郵防護服務供應商 Egress 新發表一份調查報告，旨在分析 Microsoft 365 電郵服務的安全盲點。調查一共訪問了來自美國及英國的 500…

現時有三分之二香港企業有望實施混合工作模式，「零信任保安」( Zero Trust Security ) 成為最近企業網絡保安熱話。Aruba 香港及澳門地區總經理 Fiona Siu 接受 wepro180 獨家專訪，分享 Zero Trust Security 應用的最新市場趨勢，她認為 Zero Trust Security 已成為企業網絡發展核心，企業營運者必須認識及將之應用，長遠方可保護企業網絡。…

SIM-swapping (SIM card偷換) 攻擊雖然主要在歐美地區發生，但既然愈來愈多港人準備移民，當然要了解一下如何避免成為這種攻擊方法的受害者，特別是去年因 SIM-swapping 導致的損失高達過億美元，當中更有著名 KOL、體壇明星、名人，千萬不能掉以輕心。 所謂 SIM-swapping 攻擊，是一種透過非法手段，從電訊商員工手中騙取其客戶電話號碼使用權的攻擊，例如假扮其客戶訛稱遺失手機，要求電訊商員工將其電話號碼收到的來電、SMS 短訊全部轉接至另一號碼，或重設該客戶的登入密碼等。騙徒亦可以直接賄賂電訊商員工進行上述操作，不過由於被查出的風險較高，所以一般都會以詐騙手法達成。不知道是否因為歐美與亞洲存在的文化差異影響，這類騙案較少在亞洲發生，而歐美等地則非常猖獗。如想了解為何能夠輕易騙取電訊商員工更改號碼，可以參考以下社交工程 (social engineering) 攻擊的經典示範。 https://www.youtube.com/embed/BEHl2lAuWCk?wmode=transparent&rel=0&feature=oembed 騙取到電話號碼使用權後，如騙徒手上已持有該客戶的一些帳戶登入資料 (如銀行或 Facebook 帳戶)，而又需要額外 SMS…

今時今日，打仗未必一定要先出動飛機大炮，單是網絡攻擊，已經可以癱瘓一個國家的運作及情報網絡，掃除進擊的障礙物。例如美國佛羅里達州一個市鎮的輸水系統最近就被黑客入侵，黑客試圖將用作調節食水酸鹼度的化學物混合量，調高約 110 倍，如果無及時阻止，15,000 個市民就大件事喇…… 工業控制系統（Industrial Control System, ICS）掌管國家命脈，以發電網、輸水系統、運輸網絡、核電廠等設施為例，背後都必須有 ICS 管理，所以這些重要設施自然會成為攻擊目標，只要斷水斷電，國家就會陷入一片混亂及恐慌，例如烏克蘭 2016 年全國大停電 7 日，據外界估計就是受到俄羅斯國家級黑客襲擊。而今次發生在佛羅里達州 Oldsmar 市輸水廠的入侵事件，暫時未知黑客的身份及意圖，只知道黑客嘗試將混入食水調節酸鹼度的化學物氫氧化鈉的份量，由每 100 萬單位含 100，調升至 11,100，足足達…

Android 系統容許用家從非官方渠道下載及安裝應用軟件，可說是一把雙刃劍，一方面可讓用家自由安裝手機 app，但同時亦增加用家被黑客入侵的風險，例如最新發現的 Oscorp 惡意軟件，就透過疲勞轟炸手法令用家授予手機權限，一心軟或怕煩就出事。 意大利電腦網絡保安事故協調中心發出警報，指發現一種新 Android 惡意軟件 Oscorp 正在肆虐，一旦取得用家賦予手機 accessibility services 無障礙服務功能權限，即可暗中與黑客架設的 C&C 控制中心，偷取用家的 SMS 短訊內容、啟動 Google Authenticator 雙重身份認證 app，以及開啟錄影及錄音功能。…

要數到本港最多個人用戶的電郵供應商，相信 Google 旗下的 Gmail 必然是頭幾位。Google Account 當然不只電郵這個功能，其 Google Drive 儲存空間等亦大受歡迎，絕對配得起「大神」這個名字。隨著我們把放在 Google 的資料愈放愈多，要避免被入侵帳戶以至私隱盡失，就要必須學懂管理個人 Google Account。一齊來看看科技達人 Ed Bott 的貼士吧。 Ed Bott 認為，使用…

為了確保帳戶不被盜用，啟動雙重因素 (two factor) 或多重因素安全驗證 (multi-factor authentication) 機制一向被視為較安全的做法，特別是硬體安全鑰 (hardware security keys) 就更保險。不過，Google Titan 及 YubiKey 系列產品卻被發現可被黑客複製，雖然手續比較麻煩…… 雙重或多重因素安全驗證，一般來說指的是除密碼以外，登入帳戶還須配合其他因素如生物特徵、額外安全編碼等。現時最多人採用的方法以後者居多，而額外安全編碼也可分為透過電郵或短訊接收，或硬體安全鑰認證兩種。早前已有網絡安全專家指出，以電郵或短訊接收安全驗證碼會有危險，因為只要上網裝置如電腦、手機已被黑客入侵，他們就可偷偷安裝惡意軟件，盜取帳戶登入資料並截取安全驗證碼。相反硬體安全鑰則必須在登入帳戶時，插入裝置或以藍牙技術近距離連結，所以安全性會較高。 不過，法國網絡安全研究員 Victor Lomne 及…