再有網絡安全公司發現，第三方軟件倉上存在多個內藏惡意功能的 Python packages，這些 packages 包括 loglib-modules、pyg-modules、pygrata、pygrata-utils 及 hyg-sol-utils，全部都可用於盜取開發者的 Amazon AWS 帳戶登入憑證。貪方便直接使用開源資源？好易誤中地雷。 為了加速應用服務開發，不少開發者都會使用軟件倉庫上的開源套件，直接將其功能加入自己的應用服務內。不過，在使用這些套件時卻未有審視內裏有否可疑功能，因此很容易將惡意功能加入自己的應用服務內，推出後更會波及用家。而這次被 Sonatype 安全研究員 Ax Sharma 發現的上述套件，便會在使用時將開發者的 AWS 帳戶憑證及環境變數等資料，一併上傳至黑客控制的伺服器，變相令黑客可以進入帳戶盜取公司的機密資料，甚至進行更多惡意行為如安裝挖礦程式、執行勒索軟件等。 更嚴重的是，研究員發現黑客控制的伺服器上存在數以百計帳戶憑證，而且全部伺服器對外開放，所收集的帳戶憑證亦只以…

信用卡帳戶一直是騙徒賴以為生的資料，所以網上都有不少專門販賣信用卡資訊的網站。最近意大利網絡安全公司 D3Lab 就發現一個名為 BidenCash 的信用卡資料販賣平台，免費上載一個內含 800 萬條資料的 CSV 檔案，作為吸引潛在客戶幫襯的推廣手段…… 類似的推廣手法並不罕見，例如去年夏季同類平台 All World Cards 便曾有同類推廣手段，當時釋出的 100 萬條信用卡資料全部竊取於 2018 至 2019 年之間。而這次進行推廣的平台…

QNAP 的 NAS 設備又遭到勒索軟件攻擊，犯案集團 Ech0raix 早於 2019 年已鎖定 QNAP 設備，只不過這次又被發現新的攻擊樣本。據指 QNAP 在 2022 年已四度被勒索軟件攻擊，會否對商譽造成重大打擊？ 針對 QNAP NAS 發動的勒索軟件攻擊可謂一浪接一浪，去年 12 月勒索軟件…

勒索軟件攻擊毫無疑問是最常見的網絡攻擊之一，一般來說不法分子會將數據加密，並要求受害人如要獲得解密密鑰，必須支付贖金，他們還會竊取數據，並威脅在未收到贖款時將之公諸於世，甚至還會發動雙重勒索攻擊。任何被盜的數據都可能對勒索軟件團體有用，但根據網絡安全公司 Rapid7 的研究人員對 161 宗已披露的勒索軟件事件作分析，當中某些數據被認為比其他數據更有價值，究竟是哪些呢？ 根據 Rapid7 報告，金融服務行業是最有可能暴露客戶數據的行業，82% 的事件涉及勒索軟件團體存取數據，並威脅要公開這些數據，因為不法分子深知金融機構最重視的是聲譽，竊取和發布敏感的客戶資料會嚴重破壞消費者對他們的信任。因此有些商業機構的主管可能認為支付贖金，是避免數據洩露事故進一步受損害。 在針對金融服務公司的勒索軟件攻擊中，洩露最多的檔案是員工個人身份資料 (Personally Identifiable Information, PII) 和與人力資源相關的數據，佔受害者的 59%。透過針對這些資料，攻擊者可能會破壞員工對其僱主的信任，特別是如果他們認為其個人資料最終會被網絡犯罪分子公開發布及存取，並被用於欺詐和其他網絡罪案。 另一個常發現自己成為勒索軟件團體目標的行業是醫療及製藥業。他們的內部財務和會計數據是勒索軟件攻擊中最常洩露的數據，佔 71% 事件。客戶和病人的資料也經常因勒索軟件攻擊中被洩露，研究人員估算佔 58%…

Android 惡意軟件的功能愈來愈強大，最新一款被捕捉到的 MaliBot，不單可以盜取裝置儲存的帳戶密碼、銀行及加密貨幣錢包資料，更可以暗中控制裝置通過多重因素驗證 (MFA) 驗證程序，以及向受害者的聯絡人發送惡意訊息。 F5 Labs 網絡安全專家早前捕捉到一款新的 Android 惡意軟件 MaliBot，它被假扮成一款在 Google Play Store下載量過百萬的加密貨幣追蹤 app，專家指這款軟件主要是透過 SMS 短訊散播，只要用家點擊連結至網站，下載並成功安裝該軟件，黑客就可獲得完整的裝置控制權。專家解釋，由於安裝前必須授予該軟件多種權限，當中包括 Android 系統的輔助服務 (Accessibility…

Fortune 500 之中，就有超過一半企業採用 Akamai 的服務，包括金融銀行企業、醫療產業，更不乏媒體、OTT、遊戲公司等。最近 Akamai 收購了在 Forrester Micro-segmentation 報告中獲得 leader 的 Guardicore，更進一步鞏固其 Zero Trust 的翹楚地位。今次請來 Akamai 的港澳台灣區域總經理 Victor Wong，講講…

一份有關勒索軟件為企業帶來的真正損失調查報告顯示，80%曾邀交贖金的企業都二次中招，而且當中 68% 表示第二次勒索攻擊僅發生在交贖金後的一個月內，而且贖金亦較第一次高，證明只要未堵塞入侵漏洞，就算有錢交贖金都無法解決問題。 網絡安全機構 Cybereason 發表第二份有關勒索軟件的調查報告，題為「Ransomware: The True Cost to Business Study 2022」。調查一共訪問了全球 1,400 位網絡安全專家，數據顯示 73% 企業或機構在 2022 年內都曾遭受至少一次的勒索軟件攻擊，較去年的 55%…

千祈唔好以為黑客只針對大型企業，無論是甚麼規模的企業，一樣要做好網絡安全的措施，即使是小型企業，一樣有方法避免中伏。 網絡攻擊對於小型企業來說，可能並非首要考慮的事情，網絡犯罪分子貌似多數只針對具規模、有利可圖的目標；然而事實是小型企業同樣會成為黑客和網絡犯罪分子的目標，因為小型企業同樣手握各種機密數據，例如個人資料、信用卡資料、密碼等，黑客一樣會虎視眈眈。但相對中型企業或大型企業，小型企業的資訊安全意識及保護措施相對較弱，尤其是在沒有專業網絡安全員工的情況下，致使危險度也增加。 小型企業成為供應鏈攻擊的一部分，主要是黑客能透過他們獲得大公司的存取權：從入侵可能是大型機構供應商的小型企業，攻擊者可以利用存取權滲透網絡，攻擊其商業夥伴。 小型企業遭遇無論是網絡釣魚、勒索軟件、惡意軟件，還是攻擊者擁有存取權和篡改數據權限的任何其他類型的惡意活動，其所導致的結果都可以是極具毀滅性，甚至有網絡攻擊受害者因此而永久關閉。 以下是 ZDNet 提供的自保招式，提醒小型企業如何避免墮入一些基本網絡安全陷阱。 1.不要使用弱密碼來保護線上帳戶 網絡犯罪分子並不一定具備超強技能，才能入侵企業電子郵件帳戶和其他應用程式，因為很多時他們能夠進入企業系統，純粹是因為帳戶擁有者使用弱密碼或容易猜測的密碼；同時使用雲端辦公應用程式和遙距工作模式的轉變，也為網絡犯罪分子提供了更多攻擊機會。 記住許多不同的密碼可能很困難，因此不少人在多個帳戶中使用簡單的密碼，導致帳戶和企業易受網絡攻擊，特別是如果網絡犯罪分子使用暴力攻擊以常用或簡單密碼列表作嘗試。另外，也不應該將密碼設定為易於發現的訊息，例如最喜歡的球隊或寵物名字，因為社交媒體上的資料，或成為密碼線索。 國家網絡安全中心 (NCSC) 建議使用由三個隨機單詞組成的密碼，並指這個策略能令密碼難以猜測。另外，應該使用不同的密碼來保護每個帳戶，使用密碼管理器可以幫助用戶消除記住每個密碼的煩惱。 2.不要忽略使用多因素身份驗證（MFA） 即使已採用強密碼，密碼仍有可能落入壞人手中。網絡犯罪分子可以使用網絡釣魚攻擊等方式，來竊取用戶的登入資料。多因素身份驗證會要求用戶響應警報，來確認是他們本人嘗試登入帳戶，讓入侵帳戶增添障礙：即使網絡犯罪分子擁有正確的密碼，他們也無法在沒有帳戶擁有者批准之下，使用該帳戶。如果用戶收到意外警報，提示有人正嘗試登入其帳戶，他們應向其 IT 或安全團隊報告，並立即重置密碼，避免網絡犯罪分子繼續嘗試利用被盜密碼。 儘管使用多因素身份驗證或雙因素身份驗證 (2FA)，已是最常建議採用的網絡安全措施之一，但許多企業仍沒使用，令人憂心。 3.…

只容許 iPhone、iPad 用家從 App Store下載軟件使用的 Apple，守護 App Store 安全性自然是重中之重。最近 Apple 就公開 2021 年的安全防治成果，指去年一共阻止 160 萬款可疑 app 上架，以及成功叫停 15 億美元詐騙交易。除此之外，還有其他卓越業積同大家分享。 Apple…

企業實行數碼轉型，並逐步將數據搬上雲平台時，難免面對數據遺失、成本過高及 IT 資源限制等各類問題。Pure Storage容器管理平台 Portworx，正正能幫助企業做到數據零遺失、同時 Pure Storage 亦可以協助客戶節省儲存空間和成本；配合 Veeam 的 Kasten 作後盾，全方位保護及恢復數據，毋懼勒索軟件攻擊。兩者聯手打造出最有效方案，為企業解決種種上雲難題。 Pure Storage一直秉承3E理念 在產品設計上，Pure Storage 秉承 3E 理念，即 Effortless、Efficient…