勒索軟件事故頻頻，而且愈來愈大鑊，只計美國就有多個市政府、大學、醫院遭殃。最近南非第一大城市約翰內斯堡嘅電力公司 City Power 亦遭受攻擊，網絡系統、資料庫、應用程式全數被打包，更有部分用戶要忍受停電近 12 小時，非常濕滯。 City Power 透過 Twitter 公告，公司遭受勒索軟件攻擊，資料庫、應用程式及網絡系統均被加密，ICT 部門正在清除惡意程式及重啟所有受影響嘅應用程式。而受到今次攻撃影響，City Power 客戶無法透過預繳系統進行交易。雖然發電廠已經緊急調派人力維修，不過連系統都唔 work，所以維修進度大受影響。 最慘嘅係，出事之日，正正係南非大多數打工仔嘅出糧日，好多人都要趁出糧日去買下個月嘅用電，部分用戶被迫停電近 12 小時，而依家正值南半球嘅冬季，夜晚得攝氏幾度，真真正正叫雪上加霜。 據報導，現時 City…

美國食物及藥物管理局（FDA）早前發出警告，指出美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅舊型號有安全漏洞，可以俾黑客無線修改注射劑量，隨時搞出人命。漏洞被揭兩年，但專家發現對方竟然無主動回收，專家於是實實在在寫隻殺人 app 出嚟，警告對方唔係講玩㗎！ 殺人 app 暴力破解連接 糖尿病患者有唔同類型，有啲糖尿病人無法分泌足夠胰島素（Insulin），亦有糖尿病人係因為出現胰島素阻抗（Insulin Resistance），對血液中嘅糖份敏感度下降，最終導致血糖累積。如果病情嚴重，病人就需要口服或注射胰島素藥物，醫生會調校藥劑，維持體內嘅胰島素量，過多或過少都會對人體造成傷害，甚至有性命危險。 QED Security Solutions 研究員 Billy Rios 同埋 Jonathan…

上年 Google 被美國網上媒體 Intercept 揭發為咗重返中國市場，啟動咗滿足國策嘅「蜻蜓」（Dragonfly）搜尋引擎計劃，員工即刻反枱，強烈要求撤回計劃。不過，管理層一直龜縮，只係靠語言偽術回應。好消息係，Google 高層終於講到明終止（terminated）研發，有請小鳳姐！ 語言偽術難得逞 為咗呢隻蜻蜓，Google 管理層同員工都搞得好僵，上年 8 月總共有 1,400 個員工聯署要求終止計劃，唔好為咗搵錢而跪低。管理層雖然喺 12 月叫停計劃，但由員工自發嘅「搜證組」又喺今年一、二月喺公司內部嘅開發平台上，發現計劃兩個手機搜尋應用軟件「茅台」（Maotai）及「龍飛」（Longfei）嘅程式碼被更新超過 400 次，明顯計劃依然暗中進行緊。當時 Google 管理層都有出嚟澄清，不過只係話無計劃喺中國推出搜索器服務。須知「無計劃推出」同「唔會推出」係兩回事嚟，Google 嘅員工咁高班，又點會俾呢啲低級語言偽術耍走？…

VISA上月於中國舉辦的 VISA SECURITY SUMMIT 安全峰會上，提出為了加強信用卡客戶的安全保障，計劃讓全港合作商戶參與代碼化（Tokenization），將客戶的信用卡資料變成代碼，即使黑客攔截到這些代碼，也無法進行任何逆向破解。 VISA 在同場公布的港澳區「支付安全藍圖」內，更表明希望年交易宗數達 100 萬宗以上的商戶，可以在明年內採用資料代碼化，2021 年再擴展至所有合作商戶。到底這種代碼化技術有何獨到之處？ 加密與代碼化技術 近年網上購物平台大熱，再加上形形式式的電子支付應用程式，令香港人習慣了使用電子支付服務。不過在支付較為大額的費用時，不少消費者仍傾向使用信用卡付費。VISA 上月在安全峰會上就指出，港澳區的無卡支付欺詐交易比率在去年第三季急升，為了提升信用卡用戶的安全，VISA 就希望能加快在香港推行代碼化技術。 對於電子支付的安全問題，大多數人都以為傳輸過程是以加密（Encryption）技術，將信用卡號碼、到期日等數據以金鑰加密，即使黑客中途攔截交易數據，在沒有金鑰下也難以破解。不過，由於這些數據被加密後未必可以維持原始格式，處理時有需要修改資料庫或檔案格式，而且傳輸的資料亦是原始資料，所以一旦金鑰外洩，就可逆向破解出原始資料。 非演算亂數無法破解 代碼化技術則以相同格式的亂數進行傳輸，舉例原來的信用卡號碼為 16 個位，代碼化後的亂數依然保持 16 個位格式，再加上當中不涉及任何數學演算對應關係，所以即使黑客攔截到這組代碼，亦難以估計這組代碼是原始資料抑或亂數，以信用卡為例，黑客便無法知道這 16 位數字是原來的版本抑或亂數後的版本，達到客戶去識別化的效果。現時 Apple Pay、Google Pay、Samsung Pay 均採用代碼化技術去處理交易資料。代碼化技術的另一好處，在於它可免於受由信用卡組織制定的 PCI-DSS（Payment Card Industry Data Security Standard）金融機構安全認證審查，大大省卻投放於達成標準所需的準備費用之上。代碼化技術除了可以應用在電子支付之上，為應付全球各國日益提升的個人私隱法例，它還可提升其他個人敏感資料、病歷紀錄的安全程度。 事實上代碼化技術亦有很多種類，到底它與傳統的加密法各有什麼優勢？要引入這項技術，電商或信用卡組織伙伴有什麼需要準備？如何選擇合適的電子支付服務，才能提升公司的營業額？網絡安全應用方案供應商 Edvance X Thales，將於下月舉辦工作坊，詳細講解代碼化技術的應用及解答業內人士的問題。名額有限，如欲了解代碼化技術的詳情及應用範疇，請即點擊報名連結。 Edvance…

分享FacebookTwitterWhatsAppEmailLinkedinTelegram NotPetya 的襲擊，令整個烏克蘭的人開始懷疑著如何解決日常生活等問題，所有 ATM 和信用卡支付系統已被搞垮，還能有足夠的錢來購買日用品或入油，去撐過這場閃電戰嗎？ 極速爆破 向南1,000英哩，ISSP 網絡實驗室 CEO Roman Sologub 正於土耳其南海岸度假，準備跟家人前往海灘玩水。就在這時，他的手機卻開始受到密集式轟炸，跟 ISSP 的員工一樣，致電而來的都是那些眼睜睜看著 NotPetya 在自己網絡肆虐的客戶，歇斯底里地試圖從他口中得出一個解救方案。 搞不清楚狀況的 Sologub 只好撤回酒店，逐一安撫客戶的情緒，而在那一天中，他總共收到 50…

雖然 iOS 系統比較封閉，安全性一直較 Android 為高，但始終唔可能百分百安全，好似最近又被網絡安全專家發現，黑客可以利用一種名為 URL Scheme 嘅漏洞，透過惡意應用程式去盜取用戶登入其他應用程式，例如 WeChat 嘅個人資料，如果用戶一個唔留神，仲有可能幫黑客嘅消費找埋數添！ URL Scheme 基制提升客戶體驗 為咗防止應用程式暗中讀取其他應用程式嘅執行數據，Apple 喺 iOS 作業系統上利用咗沙盒（Sandbox）功能，將每個應用程式放置喺隔離空間執行，咁就可以防止互相讀取資料嘅行為。不過，為咗方便用戶喺用緊一個應用程式時，點擊一個功能鍵或網址連結就可以打開另一應用程式，或透過 Facebook、Gmail、WeChat 帳戶作為登入其他應用程式嘅認證，Apple 就喺…

雲端科技發展迅速，市場上有著廣泛的雲端服務供選擇，助企業實現數碼轉型以保持競爭力。市場調查公司 Gartner 高級研究主管 Elias Khnaser 曾表示，選擇正確的雲端服務是 IT 領導者所必須掌握的技能，因為它主宰著物聯網、人工智能等新世代應用的成敗。要真正成功實現轉型，首要秘訣是在芸芸眾多的雲端服務商中，揀選值得信賴的供應商，借助合適的雲端科技及專才支持其發展目標。不過，選擇的過程可謂複雜困難，考慮因素多，企業宜就供應商的四個方面先了解清楚： 1. 供應商的技術及服務支援能否滿足企業的需要？ 雲轉移並非單單將數據或應用程式由公司伺服器搬上雲端，還須各種技術的配合。因為雲端服務供應商採用的硬件架構、技術框架或管理標準各異，與企業本身採用的不盡相同，如兩者存在的差異過大，便難以將企業內部的私有雲與雲端服務供應商所提供的公共雲接軌；所以在採用合適的解決方案前，必須全面評估供應商所提供的服務，是否能夠理解企業本身需要而作出配合？由雲轉移的資詢、部署到實行的過程中，會否得到相關專才持續向企業提供全面支援及優化建議，加快採用雲端技術和數碼轉型？ 2. 供應商的發展藍圖是否符合企業的創新路向？ 除了著重當下，企業還需放眼將來。不論是 IaaS （Infrastructure as a Service,基礎設施即服務）還是SaaS （Software…

被視為史上最惡毒網絡武器之一的 NotPetya 之誕生地點，要追溯至烏克蘭的首都基輔。 走過佈滿歷史建築地標的 Podil 街區，咖啡店和公園逐漸消失眼前，取而代之是糟糕的工業景觀。走過一條天橋下方，跨過鐵軌上的垃圾及走進一道混凝土門，便是樓高四層的 Linkgos Group 總部，它是一間小型的烏克蘭軟件家族企業。 其中在三樓有一間伺服器室，內裡堆放了一個個盒子般大小的伺服器，它們被一堆電纜連接著，並用手寫的數字標籤做好標記。平常這些伺服器會負責戈大火弓財務軟件 M.E. Doc 進行定期更新維護，如修復檔、安全修補、調整性能等。M.E. Doc 相當於烏克蘭的 TurboTax 或者 Quicken，總之在該國經營須納稅的生意，幾乎都要用到這個軟件。 不過在 2017…

唔少網絡安全專家都警告，醫療器材將會成為黑客嘅主力攻擊目標。理解嘅，醫療系統儲存咗好多病人嘅個人私隱，特別係私家醫院就有好多公眾人物嘅病歷紀錄，掌握到呢啲可能未經公佈嘅消息，絕對可以多方向謀利，例如勒索對方、發佈消息去操控對方所持公司嘅股價等等。其實除咗可以非法攞到病人資料，仲可以操控性命。 美國食物及藥物管理局（FDA）喺上星期就發出警告，呼籲病人將由美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅部分型號拎去回收，因為 FDA 發現呢啲產品存在網絡漏洞，可以俾有心人士隔空改變藥劑設定，影響病情。 由於糖尿病人無法分泌足夠嘅胰島素（Insulin），又或出現胰島素阻抗（Insulin Resistance），部分病人有需要口服或注射胰島素藥物，先可以轉化血液中嘅糖份；視乎病情，醫生會調校藥劑，維持體內嘅胰島素量，避免不足或過多。Medtronic 自動注射器嘅出現，就可以按照醫生嘅藥劑設定，自動為病人注入胰島素。不過，由於呢款產品備有無線連接功能，而 FDA 就發現咗有心人士可以喺接受範圍內，利用產品本身嘅漏洞進入系統，修改藥劑量設定，影響病情，所以就要求生產商回收產品。 其實除咗胰島素注射器，其他身體檢查醫療器材如果俾黑客攻擊，例如磁力共振、電腦掃描儀器等，就可以製造虛假檢查結果，有病變無病，無病變有病，令病人延遲接受醫療或製造恐慌，所以除非你一世人都唔使睇醫生，否則醫療漏洞絕對同所有人有關。 資料來源：https://bit.ly/2KOlrE7 相關文章：【醫療事故】醫院洩密 新加坡總理都中招

年青人嘅破壞力真係不容忽視，外國少年黑客團隊研發出名為 Silex 嘅惡意程式，專門針對採用咗弱密碼防護嘅 IoT（Internet of Thing）產品，而且瞬間已經攻陷過千台。 據悉 Silex 係由三個少年黑客組成嘅團隊編寫，包括 Light The Leafon / Light The Sylveon（Light）、Alx 及 Skiddy。其中 Light 只係約…