電競熱潮直捲全球，唔少後生仔都夢想成為電競選手，可以靠打機搵食。不過，真正嘅電競手一啲都唔易做，日日都要打十個鐘頭機，仲要操體能，所以連香港跳高隊代表楊文蔚都話：「電競同田徑一樣咁難行，跨得過你就係運動員。」 啱㗎，所以大部分人打機其實志在 kill time，邊會覺得可以靠佢搵食。之不過，有啲無 game 品嘅人明明唔夠人打，但又唔肯認輸，於是就想靠邪道威威，上網搜尋有無秘技或程式可以修改遊戲，情況就等於運動員食禁藥一樣。 最識得利用人性弱點嘅黑客又點會放過機會？早前網絡安全公司 Cyren 專家就發現，網上有一個連線射擊遊戲《Fortinite》嘅遊戲修改程式 Syrk，聲稱只要下載及執行 SydneyFortniteHacks.exe，就可以提升玩家嘅開槍準繩度，但實際上 Syrk 係一隻勒索軟件。當用家執行檔案後，就會發現電腦內的圖像、影片、文件同埋音樂檔案全部被上鎖，同時畫面會顯示一段「你已經被綁架」嘅訊息及聯絡電郵地址，要中招者用電郵聯絡，商討俾幾多同點樣俾贖金。為咗加強真實感，黑客仲喺畫面上加咗個計時器，指兩個鐘內唔採取行動，所有檔案就會被刪除。 專家指出 Syrk 其實係以一隻開源勒索軟件 Hidden-Cry 為基礎修改而成，佢嘅源碼喺上年放咗喺 GitHub 俾人下載使用，所以話呢個世界真係乜都會有人分享，只要有心機喺網上面搵就得。幸運地，專家發現用嚟解鎖嘅工具同時放埋喺受害者嘅電腦入面，只要打開一個叫做…

Facebook 近年飽受私隱問題困擾，CEO Mark Zuckerberg 上年承諾協助用戶「Clear History」，今日終於找數，推出 Off-Facebook Activity 功能，讓用戶掌控自己嘅私隱，清除 Facebook 存於第三方網頁及 Apps 嘅資料，截停追蹤。 自從「劍橋分析（Cambridge Analytica）」事件，Facebook 積極改革，大動作包括拒絕有問題嘅應用程式、打擊有問題專頁。日前更推出全新功能 Off-Facebook Activity，旨在讓用戶私隱自決，官網宣稱 Off-Facebook Activity…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

而家網上世界真係好多 fake news，你睇 Facebook 都話嚟緊幾年會專注打擊假消息，就知問題有幾嚴重，所以喺轉發新聞前，真係要盡量做下 fact check，就算驗證唔到，都要盡力了解下真相。好似上星期開始喺 Twitter 上蘊釀嘅我要上 Twitter 事件，主人翁好可能連 Twitter 同 LG 都玩埋。 喺 8 月初，有個慈母因為阿女 Dorothy 玩手機玩得太投入，煮嘢食時都掛住玩手機，結果搞到著火，慈母即時沒收晒佢嘅手機，希望佢可以多啲留意現實世界嘅嘢。Dorothy…

家陣公司為咗節省資源，好多嘢都靠外判，等自己唔使養咁多人。就連網絡安全工作都係，一來市場上唔夠人手，二來逐樣產品買亦負擔唔起。理解嘅，在商言商，老闆又錯唔晒，不過如果公司連一個識 IT Security 嘅同事都無，又可以點去評估外判商做緊啲嘢掂唔掂？好似好多企業都鍾意搵公司做 consultation，但公司入面無人識 cyber security，根本唔知點揀，所以有多啲 budget 嘅就會搵 Big 4，因為連銀行金融業都搵佢哋做評估，差極都有個譜啩，但 Mr. Smith 真係要再強調一次，好易中伏！ 試過有次公司要搵美國一間大公司做 code review，評估一隻用嚟保護其他 application 嘅軟件有無漏洞。結果報告返咗嚟，話隻軟件嘅 loophole…

喺《Matrix》電影入面，Agent Smith 原本嘅職責係消除系統唔穩定嘅因素，以及清理漏洞 Neo，可以話係維穩工具。不過，最近網絡安全研究員就發現咗一種新嘅手機惡意軟件變種，已經感染咗約 2500 萬部 Android 裝置，而佢嘅名就係「Agent Smith」！ Agent Smith 係一種識得透過偽裝手法，令到其他手機應用軟件變成同黨，齊齊顯示指定廣告以增加廣告收入嘅惡意軟件。Check Point 研究員發現，Agent Smith 攻擊主要針對印度、巴基斯坦、尼泊爾等亞洲地區，但美國、澳洲、英國亦有唔少用家中招。Agent Smith 會分三階段嚟達成攻擊，首先需要引誘用家下載及安裝含有 dropper 嘅軟件，例如係免費遊戲、應用軟件或成人娛樂等，進入手機系統後就會自動解碼，並利用數個已知嘅…

早前報導佛羅里達州兩個巿政府齊受勒索軟件襲擊，兩個市政府最終決定交贖款了事，其中人口大約 12000 人嘅 Lake City 跪低向黑客支付 42 個 Bitcoin （約價值 46 萬美元）後，秋後算帳就正式開始，搵咗個 IT 主管出嚟問責，兼夾革職祭旗。究竟點解要佢揹呢隻鑊？ Lake City 乃佛羅里達州一個小市鎮，官方形容今次保安事故係連中三元（triple threat）。事源有個濕滑嘅同事收咗個有毒電郵，粗心大意地下載咗個受感染嘅檔案，引發連鎖反應：先中木馬程式 Emotet，引入另一個木馬 TrickBot…

人生有個豬隊友確係慘仔嘅，最慘如果係自己上司，有時都唔知點幫佢兜，搞到我都好想升高三個 key 同佢講，「你真係蠢唔係扮㗎喎！」唔知係咪開口中，早幾日 Mr. Smith 就遇到以上情況喇。 事緣上星期要測試 vendor 產品，分析吓有冇後門，其中一項要做 dynamic analysis，睇吓隻軟件有無喺過程中做啲古惑嘢。因為時間幾趕，所以成 team 人好快已有共識，就係利用一隻 open source 嘅工具，去 capture 軟件嘅網絡流量做分析，同時用不同嘅 軟件（當然都係快靚正嘅 open…

每年 Amazon Web Services（AWS）都會於全球 35 個城市，舉辦 AWS Summit 峰會。香港站已於上星期完滿結束，峰會當日吸引了二千多名 IT 從業員參加，同場更有 40 家 AWS 合作夥伴開設展區，展示所提供的雲端應用服務。峰會的主題演講不單詳盡介紹了 AWS 的各種服務，更邀請了美聯物業、中華電力等機構出席，分享其借助 AWS 的數碼轉型歷程。 自從…

呢個禮拜嘅網絡安全關鍵字，唔使公投都知答案肯定係「漏洞」啦！當大家知道原來醫管局一個機密度咁高嘅系統，係可以唔需要用密碼登入，成個業界即刻嘩聲四起，乜原來咁都得？有老闆講笑咁話早知新入果張標書唔使寫埋 2FA 之類嘅多重驗證安全系統入去咁多餘啦！官方仲有啲更抵死嘅回應，話因為電腦附近 24 小時都有人 on duty，所以就算唔用密碼登入，理論上都係好安全咁話。如果當佢啱，咁銀行入面點解仲要有夾萬？差館夠人多喇啩，出入咪又係要嘟卡？ 好嘞唔講呢啲，講返今次重點先。有人話呢個係系統漏洞，將來會修補返，但其實呢個好明顯唔係漏洞而係後門。漏洞（Vulnerability）係指執行系統時出現咗超出預期或無考慮過嘅反應，而結果係可以俾黑客利用嚟攻擊，呢啲先叫做漏洞，例如近來最火熱嘅 Microsoft Windows 系統 BlueKeep 漏洞（CVE-20190708），就可以俾黑客遙距執行惡意程式。 不過，如果喺設計系統時一早預留咗條秘密通道，又或者黑客利用漏洞嚟植入後門，將來可以繞過驗證方法 log in，咁就應該叫暗門（trapdoor） 或後門（ backdoor）至啱。其實留定條秘密通道可以有好多原因，正常用途包括為咗方便 programmer 測試或修改系統，又或者作為正常登入系統失靈時嘅後備救援方法；至於暗黑系用途，自然係用嚟監測其他用家嘅私隱，或暗中安裝各種…