微軟上周發出警告指，黑客使用一種名為 DearCry 的勒索軟件，現在將未有修補程式的 Exchange 伺服器作為目標，這些伺服器仍然存在四個漏洞，這些漏洞已被可疑的中國政府黑客利用。微軟再次警告 Exchange 客戶，應使用上周發布的緊急修補程式，以解決影響 Exchange 電郵伺服器的嚴重漏洞。 微軟早在 3 月 2 日時敦促客戶立即安裝修補程式，因為未來數周和數月內，將面對更多的網絡犯罪分子或有國家支持的黑客，利用這些漏洞入侵的風險。微軟指，現時的攻擊是由一個名為 Hafnium 的中國黑客組織所為。安全服務供應商 ESET 就指，至少有 10 個國家支持的黑客組織，正在嘗試利用未有修補程式的…

SIM-swapping (SIM card偷換) 攻擊雖然主要在歐美地區發生，但既然愈來愈多港人準備移民，當然要了解一下如何避免成為這種攻擊方法的受害者，特別是去年因 SIM-swapping 導致的損失高達過億美元，當中更有著名 KOL、體壇明星、名人，千萬不能掉以輕心。 所謂 SIM-swapping 攻擊，是一種透過非法手段，從電訊商員工手中騙取其客戶電話號碼使用權的攻擊，例如假扮其客戶訛稱遺失手機，要求電訊商員工將其電話號碼收到的來電、SMS 短訊全部轉接至另一號碼，或重設該客戶的登入密碼等。騙徒亦可以直接賄賂電訊商員工進行上述操作，不過由於被查出的風險較高，所以一般都會以詐騙手法達成。不知道是否因為歐美與亞洲存在的文化差異影響，這類騙案較少在亞洲發生，而歐美等地則非常猖獗。如想了解為何能夠輕易騙取電訊商員工更改號碼，可以參考以下社交工程 (social engineering) 攻擊的經典示範。 https://www.youtube.com/embed/BEHl2lAuWCk?wmode=transparent&rel=0&feature=oembed 騙取到電話號碼使用權後，如騙徒手上已持有該客戶的一些帳戶登入資料 (如銀行或 Facebook 帳戶)，而又需要額外 SMS…

Philip Hue、Amazon Kindle、Apple Watch、Google Home Voice Controller、August Smart Lock、Kuri Mobile Robot、Dyson Pure Cool Link Air Purifer、NEST T3021US Learning Thermostat、WeMo Insight…

香港 IKEA 宜家家居早前突然停業，Beeping Computer 透露，IKEA 的母公司牛奶公司疑遭黑客組織 REvil 入侵，內部網絡及伺服器遭加密勒索，並指黑客勒索 3,000 萬美元贖金。惡意軟件攻擊在香港並非罕見，HKCERT 自 2018 年至本月，共收到 4,581 宗相關事故報告，為防勒索軟件買保險，會不會是一件好事呢？在英國，最近為勒索軟件保險事宜鬧得熱烘烘，究竟中間有何爭論點？ 英國保險人協會（Association of British Insurers, ABI）被指將勒索軟件付款納入網絡保險政策，是間接支持網絡犯罪組織，ABI…

政府明日（1 月 30 日）就引入電話智能卡實名登記制度的安排展開公眾諮詢，徵詢電訊業、相關持份者和市民的意見，指為促進本地電訊服務發展，及有效打擊涉及電話智能卡的犯罪活動。 現時本港流動電話用戶主要透過智能卡服務計劃（服務計劃）和預付儲值電話智能卡（電話儲值卡或俗稱「太空卡」）使用相關服務，其中電話儲值卡用戶無須簽訂固定合約或登記個人資料。 政府指，由於電話儲值卡的匿名性質被不法之徒利用作違法活動，但現時並無法例規定須登記此類儲值卡用戶資料，執法機關難以追查、鎖定這些違法活動的幕後涉事人，又指過去有不少電話騙案，利用電話儲值卡匿名性質犯案。匿名儲值卡經常被用於各式各樣的騙案，包括電話騙案、網上購物騙案、求職騙案、投資騙案等，令受害市民蒙受損失。 商務及經濟發展局局長邱騰華表示，有迫切需要透過引入實名登記制度，堵塞漏洞，防止和協助偵查涉及使用電話儲值卡的罪案，並維持市民對本港電訊服務的信心。保安局副局長區志光則指，涉及本地流動電話犯案的嚴重罪行中，超過七成涉及使用匿名儲值卡，而電話騙案當中的比例更高達九成，匿名儲值卡有利不法之徒逃避身分識別、追蹤和偵查，即使犯案人士被捕，幕後的犯罪集團主腦往往能置身事外，而盡快落實實名登記制度，有助打擊和防範不法之徒利用匿名儲值卡犯案，從而保障市民的人身和財產安全。 政府計劃透過《電訊條例》訂立規例實施電話智能卡實名登記制度，提供所需的法律基礎讓電訊商按規例的要求登記、收集和儲存用戶的登記資料，將涵蓋所有由本地電訊商發出及在香港使用的電話智能卡。 實名登記制度主要規定如下： （一）用戶須提供身分證明文件（香港身份證或其他可接受的身分證明文件如旅客的旅遊證件）內的資料，包括姓名、出生日期和身分證明文件號碼及其副本，以作登記； 若公司或企業要登記成為電話智能卡用戶，則須提供其商業登記資料及指定某人士作為代表或負責人，並提供該名人士的個人資料； （二）16歲以下人士如需登記電話智能卡服務，相關登記必須得到一位「合適成人」的確認； （三）每名用戶只可向每間提供公共流動服務的電訊商登記不多於三張電話儲值卡； （四）電訊商應核對、釐清及核實用戶提供的資料，並在有合理理由認為有關資料屬虛假、誤導或不完整的情況下，取消有關電話智能卡的登記； （五）電訊商需在電話智能卡取消登記後，保存相關登記用戶的紀錄最少12個月； （六）登記的個人資料由相關電訊商保存，不會向他人包括政府或執法部門披露。執法部門在有需要時才可按規例向電訊商索取電話智能卡的登記資料； （七）按規例執法部門只能獲取電話卡的登記資料（即姓名、基本身份證資料），並不包括通話紀錄及內容。在一般情況下，執法部門須得到法庭手令，但在某些迫切或緊急事件的特殊情況下（例如涉及炸彈恐嚇、綁架等嚴重罪案），執法部門可在一名不低於等同警司職級的人員授權下，要求電訊商在沒有法庭手令下提供電話智能卡的登記資料。 為讓電訊商作好準備以遵照登記規定，政府建議登記制度分階段進行，規例生效 120 日後出售的新儲值卡及服務計劃才開始按規例作登記，屆時所有新的電話智能卡須先登記後才可啟用。按目前的建議，所有電話智能卡須於規例生效後的…

為降低數據儲存成本及提高靈活性，不少企業管理者已計劃將數據移雲。不過，管理者既要考慮供應商的安全性，亦要摸清各種收費項目，特別是某些行業還需滿足合規要求，難度極大。由 ICT 方案供應商中信國際電訊 CPC（以下簡稱 CPC）、雲端運算及虛擬化技術供應商 VMware 攜手推出的 SmartCLOUD™ Object Storage 對象儲存服務，便可一口氣掃除以上難題。 中信國際電訊 CPC 產品開發及管理部高級副總裁 Taylor 說，今年 CPC 正式成為 VMware 合作夥伴計劃中最高 Principal 級別的雲服務供應商，在亞太地區屬極少數，充分顯示出 CPC 的雲端服務獲得肯定。 數據由內移外 引伸收費及安全問題 數據儲存是企業數碼轉型（Digital…

在辦公室工作更有效率？在家工作更具效益？2020 年，讓企業知道兩者可以並存。由思科（Cisco）委託進行《未來勞動力》（Workforce of the Future）調查報告，就發現有 87% 的香港僱員表示，即使辦公室如常開放，仍希望享有更多自主權，自由選擇在家或在辦公室工作及管理工作時間。混合式工作場景有望成為全新的工作模式，公司營運可以更具成本效益，員工亦可享更大的自由度。想要工作效率不受地域所限，雲端 IT 管理方案的角色更見重要，然而中小企的資源限制多，往往連老板、員工都要兼任 IT 管理的工作。面對各式 IT 難題應該如何自處？思科（Cisco）歸納了中小企在混合辦公模式下常遇到的 IT 難題，其實只要選擇合適網絡工具和服務，中小企也可以輕易適應將來難以預期的變化。 網絡會議甩漏多　穩定協作最關鍵 工作需要團隊合作，清楚的工作流程和良好的溝通，才能令合作有效率甚至事半功倍。混合式工作場景，涉及到團隊中分別在家中工作和在辦公室工的成員，一般都會選擇視像會議去代替慣常的直接會面。單對單的會面還不難處理，遇上涉及多人的視像會議，如視像會議服務的穩定性不足，令會議時間都花在技術支援上，無疑是得不償失。此外，又會有不少員工選擇到餐廳、咖啡店甚或其他地方工作，能否利用手機或其他流動裝置完成視像會議，也是值得考慮的一環。如 Cisco 的 Webex視像會議工具就以安全穩定見稱，相對要求較低頻寬就可達致高清畫質，行動版更支援…

礙於營運成本，中小企業難以投入大量資金聘請安全專家、購置安全工具。有調查報告顯示小企業 CISO 明言無法阻擋入侵，而人手短缺更令安全工具無法被妥善運用。矛盾難解決？答案就是將網絡安全工作外判，或交由託管公司代管 (MSP)，便可借助對方的安全專家及先進的安全工具，守護公司。 早前生產力局轄下香港電腦保安事故協調中心（HKCERT）公布2020年網絡保安事故統計數字，指出上年處理了 8,346 宗安全事故，雖然數字上較 2019 年下跌 12%，但由於只是經 HKCERT 處理的個案，未有尋求協助的個案相信還有很多。而 HKCERT 方面亦呼籲企業盡快為新常態和新技術制定網絡保安策略，以應對因新冠疫情而加速的數碼轉型，以及 5G 通訊、物聯網和人工智能技術的廣泛應用。 作為守護公司大門的網絡安全團隊，自然不可能鬆懈，因為網絡攻擊招數層出不窮，加上黑客已不會只針對大企業或金融業發動攻擊，各行各業的中小企亦成為目標，對資源有限、人手緊絀的小團隊來說，難免每日生活在惶恐中。 新公布的一份調查報告《2021 Survery of…

數據加密與高速資訊儲存，從來就像水溝油，沒有並存空間。 科技界這一大困局，最近就由 Multisoft 聯同 Thales 及 PureStorage 攜手打破。數據加密與儲存系統的兩大科技界龍頭，合作推出簡稱 CTE的解決方案，CipherTrust Transparent Encryption – Efficient Storage，首創在點對點加密的環境下，仍可維持高壓縮比率，令用家同時做到防止數據洩漏及節省 Storage 成本。 CTE 背後的原理是甚麼？實際環境下可為企業節省多少成本？操作上是否很複雜？ 想知道更多有關 CTE…

新加坡政府一向希望取代香港的亞洲金融中心地位，而在維護網絡安全政策方面，反應更比港府敏捷得多。最新動作是修改了金融業的科技風險管理指引，強調行業必須加強對第三方服務供應商的規管，相信跟近年頻頻發生的供應鏈攻擊 (supply chain attack) 有絕大關係，例如令人聞風喪膽的 SolarWinds 事件…… 現時金融業在發展網上業務時，傾向與第三方服務供應商合作，例如 IT 管理工具、數據備份及災難復原服務等，雖然金融業本身有嚴格的網絡安全法規要遵守，但在第三方服務供應商上卻難以監管，黑客組織自然會捨難取易，選擇向這些服務供應商發動攻擊，從而入侵金融機構。最近 SolarWinds 火燒連環船事件就可看出，如果能成功入侵第三方服務供應商，成效有可能更大。 而今次新加坡金融管理局修訂的科技風險管理指引，明顯針對供應鏈攻擊而來，因為在新指引下，金融業必須嚴格監督第三方服務供應商，同時亦就任命第三方供應商及高級 IT 管理人員方面提供建議，例如必須嚴格監管對方員工是否有足夠的技能或證書，而在聘用 CIO 或 CISO 等職位時，亦要考慮對方是否持有相關的認證。在兩方面配合下，便能確保服務供應商有高規格安全標準之餘，金融機構內部亦有懂得如何監管服務供應商的能力。 此外，新加坡金管局亦規定金融業界必須確立網絡威脅情報分享平台，交換彼此收集到的網絡威脅資訊，以供業界定期進行內部滲透測試，堵塞可被入侵的漏洞。在這方面，雖然香港金管局推出的網絡安全防衛計劃…