係囉，錯就要認，知錯就改，咁就抵讚！密碼管理工具 LastPass 被發現有漏洞，用戶有可能俾黑客盜取最近一次嘅登入憑證。LastPass 收到通知，立即回應，火速修復，抵讚！ 密碼管理工具絕對係現代人嘅必備，全靠佢，先可以應付日常海量密碼登入帳號之苦。事關網絡安全專家建議大家唔好重用密碼，以免其中一個帳戶嘅登入資料被盜取，就會波及其他帳戶。不過一個正常人又點記得咁多複雜密碼？為免大家被密碼折磨，網上就出現咗好多密碼管理工具，而 LastPass 就係最受歡迎嘅工具之一。較早前，Google 嘅網絡安全工程師 Tavis Ormandy 發現 LastPass 有一個漏洞，黑客可以利用一個有效嘅 clickjacking 手法，引導用戶利用 LastPass 登入個人帳戶，然後轉移到惡意網站，截取資料。 雖然此漏洞只出現於 Google Chrome 及…

唔好以為你無用 Facebook，就唔會俾佢攞到個人私隱資料，事關 Facebook 專為手機應用軟件開發者提供 SDK 系統開發套件，方便佢哋嵌入軟件內，收集用家數據用嚟推送相關廣告賺錢，所以如果係女士又用緊生理周期記錄 app 嘅話，姨媽幾時到、經期徵狀同埋性生活都會一一上報，唔知妳又想唔想呢？ 私隱直送服務 專門監察政府及企業有無過份採集個人私隱嘅獨立組織 Privacy International，上星期發表咗一個調查報告，佢哋今次選擇咗生理周期手機應用軟件為調查目標，利用儀器攔截輸入 app 內嘅資料，睇吓開發商會將幾多用家私隱傳送去 Facebook。結果發現，最多人用嗰幾隻 app 包括 Period Tracker（Leap Fitness）、Period…

Pentest 滲透測試係發掘網絡系統漏洞嘅好方法，所以唔少政府部門或企業都會外判服務供應商進行測試。但美國就有兩個網絡安全專家喺執行測試時，懷疑殺得性起，做多咗嘗試強行爆入法院大樓，再攻埋其他系統，結果搞到官非纏身！ 上星期三，美國愛荷華州（Iowa）達拉斯縣（Dallas）法院發現有不明人士闖入法院大樓，觸動警報系統，結果警衛拉咗兩個入侵者。兩個入侵者分別係 Justin Wynn 同 Gary Demercurio，被捕時二人即刻話係受到達拉斯縣政府所僱用，目的係測試法院嘅安全系統。起初當局回應話無咁嘅事，但經查明係，證實 State Court Administration（SCA）的確係僱用咗網絡安全公司 Coalfire 為系統進行滲透測試，而 Justin 同 Gary 就係 Coalfire 嘅員工。 雖然證實咗真係派出社員，但…

Apple 嘅 iPhone 11 系列將於下星期五推出，伴隨住新機出爐，作業系統亦會升上 iOS 13。不過，早前 Apple 放出供測試嘅 iOS 13 GM（Golden Master） 版最然係最接近完成嘅版本，但就俾網絡安全研究員 Jose Rodriguez 篤爆 Apple 仲未修補到之前佢舉報嘅漏洞，可以喺唔使機主解鎖嘅情況下，讀取機主嘅聯絡人資料。 Rodriguez…

研究員搵漏洞，除咗想維護網絡安全，亦希望對方可以正視問題，之不過站於對方立場，醜事梗係收埋最好。早前有研究員發現一款路由器有嚴重漏洞，之不過廠方嘅回應就有好大改善空間囉。 Singtel 旗下網絡安全研究團隊 Trustwave 嘅 Spiderlabs 喺年初發現，一款 D-Link ADSL2+ 路由器出現嚴重漏洞，可以唔使認證，直接從網頁上獲取路由器資料，當中更包括密碼。方法就係喺路由器嘅 index.asp 頁內搜尋 username_v 及 password_v 參數，咁就攞到用戶嘅登入資料。此漏洞非常嚴重，意味著黑客可以控制路由器、截取當中嘅數據傳輸。 Trustwave 當然有向 D-Link 通報，不過，對方似乎唔係好理。原本…

做咗資安專家咁多年，經驗話俾我知，一間公司無論做咗幾多網絡保安措施同買咗幾多防毒軟硬件，最尾都有可能係衰喺員工手上！最近 Proofpoint 出咗份報告就係最佳例證，喺過去 18 個月入面，專家發現超過 99% 含間諜軟件嘅電郵，都係全靠員工打開先會成功㗎咋！ Proofpoint 專家 Chris Dawson 指出，而家黑客嘅入侵已經唔係以前漁翁撤網咁，而係針對性有目標咁做，例如見到近年好多公司都轉晒用雲端服務，所以黑客就順勢用電郵「分享」Office 365 同埋 Dropbox 嘅連結。Chris 雖然好多人都留意到寄件人好生面口，但係因為成日開慣呢類雲端網站連結，潛意識都係會撳落去先，於是就係咁中招。 公司咁大，邊類員工先係最易中招目標呢？Chris 就話好多人以為管理層先係黑客目標，因為佢哋掌管公司咁多資料，被入侵嘅價值自然高啲；但研究發現只得 7% 入侵個案係針對佢哋，反而有 36%…

唔好講咁多，即刻掹咗張 SIM 卡出嚟先，因為最新發現嘅呢個漏洞，正影響緊全球 10 億以上流動網絡用家，黑客只要發出一個含有惡意代碼嘅 SMS，就可以發動 SIMjacker 攻擊，喺你部裝置上面執行惡意程式，暗中控制你部裝置，包括打電話、發送假訊息、報告位置、傳輸數據、停用 SIM 卡，甚至執行其他惡意指令。由於漏洞存在喺 SIM 卡上，所以無論你用邊款手機，以及各種可以插 SIM 卡上網嘅裝置，例如平板電腦、IoT 裝置，統統走唔甩，而且暫時係完全無修補方案，你話除咗掹 SIM 卡靠 Wi-Fi 上網之外，仲可以點做呢？ 呢個核彈級…

除咗 Wi-Fi，我諗日常用得最多嘅無線科技，一定係藍牙！揸車嘅一日到黑都用藍牙免提唔在話下，就算好似我呢啲無車一族，都好鍾意用支藍牙遙控自拍棍影下相，或者駁部手機去藍牙喇叭聽下歌，但係藍牙有樣好衰嘅嘢，就係每次配對都好鬼蹝時間，所以一旦配對好，大部分人都會keep住由佢繼續用，咁就好易出事！ 點解咁講？你睇下近期嘅新聞就知原因，首先係上個月喺拉斯維加斯舉行嘅黑客大會 DEF CON，就有參加會議嘅黑客示範點樣可以入侵唔同款式嘅藍牙喇叭，然後遙控佢播放高頻音效，邊個唔好彩身處喇叭附近就有機會聽覺受損，所以大會俾所有與會人士嘅建議只得一個：熄咗藍牙佢！ 另一單就再嚴重啲，有研究員發現藍牙原來存有漏洞，傳送嘅數據可以俾黑客截取同埋改動藍牙傳送緊嘅內容，即使係一啲早已成功配對嘅產品，都可以喺配對後入侵，都係嗰句，你唯一可以做嘅，就係熄咗藍牙佢！ 夠驚嚇未？未算！幾星期前，有研究員示範點樣利用 Bluetooth Low Energy 嘅運作方式，透過 AirDrop 拎到你個電話號碼；另外《紐約時報》亦揭發好多店舖裝咗藍牙接收器，只要你部手機開著藍牙，喺顧客唔知嘅情況下追蹤佢哋嘅行蹤，仲將呢啲數據賣俾廣告商……林林總總多不勝數，如果你唔想成為以上事件嘅受害者，都係一句，熄咗藍牙就最穩陣啦！ 資料來源：https://bit.ly/2HfZQkI

今年資安界最「老貓燒鬚」事件，一定要數 McAfee 單官司，佢狀告三位前員工偷走公司機密，拎埋去敵對公司返工。 正所謂日防夜防，家賊難防，由古至今內鬼永遠係最令人頭痛同最難處理嘅問題，麥肯鍚就曾經發表過報告，話 2012 至 2017 年期間，有五成違反協議嘅個案都係同內鬼有關，都咪話唔得人驚！雖然好多企業都有一套守則，防範公司資料外洩，當中包括培訓員工提高安全處理資料嘅意識，甚至一系列保安措施，但最後都避免唔到出事，原因係真正要提防嘅係公司數據。 細水長偷 好多公司會錯判形勢，以為內鬼多數會將所有資料拎走，只要留意有冇人一次過抄走好大size嘅檔案就得；但係員工跳槽唔係尋日先決定嘅事，亦唔會臨走嗰幾日先走嚟抄檔案，尤其係根本處心積累要轉工嘅，真係三個月前逐少逐少抄定都得啦！而且老實講，好多時候員工都會外出開會或者返屋企工作，根本有啲檔案一早已抄走咗，係絕對唔需要一次過抄走 10TB 檔案咁顯眼囉！ 仲有就係，其實一間公司值錢嘅檔案，size 未必需要好大，以軟件公司為例，短短幾行只係 10KB 嘅程式碼已經可以係最重要嘅機密，而食品公司記載產品秘密配方嘅文件檔都好可能只得幾 KB，所以資安專家 Rob Juncker 提議企業判斷數據價值，唔應該用…

大部分人用社交網站，都係不停 post 相 post 片，你睇 Apple iPhone 11 系列嘅賣點集中晒喺影相功能上面，就知影相同分享相、片係幾咁重要。而作為社交平台龍頭大佬嘅 Facebook，每日用戶上傳嘅相閒閒地都超過一億，但原來早前喺 Facebook 自家開發嘅 HHVM（HipHop Virtual Machine）開源虛擬機器上，就存在住兩個上傳相片嘅漏洞，黑客可以透過上傳一張帶有惡意內容嘅 JPEG 相，令系統出現記憶區溢位（memory overflow），從而達成越位讀取記憶區數據，又或發生阻斷服務情況。 Facebook 自家開發嘅…