雖說現時Apple的iOS 14及Google的Android 11作業系統，已大大增加應用軟件取用手機功能的權限透明度，甚至可讓用家逐次授予使用權。不過，面對著一些合理地取用全球定位功能、卻不合理地使用資訊的app，如用家未有留意細則或用法，便有可能洩露自己的行蹤。最新的例子是不少港人都有使用的運動記錄app Strava，預設功能可讓擦身而過的用家閱覽你的個人資料及經常出沒的運動地點，遇著立心不良的匪徒，隨時有人身安全危機！ 作為一隻運動記錄應用軟件，Strava在安裝時，要求取得定位權限，合理至極；而且相信絕大部分用家，為免每次使用app時都要重新授權，都會選擇長期開放取用位置權限，減少麻煩。不過，其中一位Strava用家Seward在Twitter上透露，當他完成一次跑步記錄後，竟發現記錄內tag了一位當日曾與他擦身而過的女跑手，Seward甚至可以細閱這位女跑手的Strava帳戶資料及運動記錄。經深入調查後，Seward發現原來Strava app預設的私隱分享功能非常「無私」，個人資料、運動記錄、團體活動等都設定為可供任何人查閱，而當中Flyby功能便是今次事件的元兇，因為開啟後，系統便會與附近的用家分享運動及位置記錄。雖然這功能用在正途上，或可組織該區的運動愛好者一起訓練，但卻同時洩露了過多個人資訊，包括經常出沒位置及所使用的運動手錶等，匪徒便有可能在路上埋伏，又或借助詳細的個人資料，發動社交工程(Social Engineering)攻擊。 事件經報導後，Strava即時出面澄清，並表示會通知所有用家有關修改這項私隱設定的方法。用家如希望關閉這項功能，可登入Strava官網，在設定中點選Privacy Control，於Flyby點選「No One」便可。用家亦可同時修改其他私隱設定，例如只跟朋友分享資訊或運動記錄，減少不必要的危險。 資料來源：https://bit.ly/3361ZL2

成日都話要加裝新一代電郵防護系統，究竟有幾重要先？答案係因為黑客經常搞新意思，用唔同手法避過傳統電郵防護之餘，減低你嘅警覺性，一唔小心 click 咗入面嘅連結，輸入的帳戶登入資料就好易被偷。好似新一波釣魚攻擊，就直頭喺真嘅官方網站上造假，問你點防備？ 根據 Cofense 最新的釣魚攻擊調查，發現有黑客開始利用一種常見於 Android 手機上、專門用作偷銀行或信用卡資料的疊影﹝overlay﹞技術。黑客首先會假扮成目標人物嘅 IT 部同事，發出電郵指佢嘅郵箱正被隔離，如果唔點擊連結登入，就會喺指定時間刪除所有郵件，令目標人物即刻做嘢阻止慘劇發生。 而當目標人物點擊連結後，就會跳轉去一個同佢相關嘅網頁如公司官網，舉例用緊 Microsoft 電郵，就會去到真正嘅 Microsoft Outlook 版面，再巧妙地喺上面覆蓋一個登入帳戶視窗，同時預先輸入目標人物嘅電郵，大大增加輸入資料嘅可信度。由於網站係原裝正貨，所以就算目標人物識得去檢查網址有無古惑嗰陣，都唔會查到啲乜嘢，結果就會信以為真，乖乖交出登入密碼。 在真網站上疊加假登入帳號視窗 好喇，咁加裝新一代電護防護工具又有乜用呢？我哋請教咗本地電郵安全專家 Green Radar，以旗下的…

藍牙(Bluetooth)通訊技術最近連環被揭發存在漏洞，例如較早前有安全專家指Bluetooth 4.0及5.0版本存在的「BLURtooth」漏洞，可讓黑客竄改兩部裝置配對時所產生的「跨傳輸埠金鑰」(Cross-Transport Key Derivation)，強行與目標裝置進行配對，繼而入侵裝置。而最近被公佈的BLESA(Bluetooth Low Energy Spoofing Attack)漏洞的影響就更大，估計全球正有數以億計支援BLE制式的藍牙裝置，曝露於攻擊之中。 相對於傳統藍牙制式，BLE制式的特點在於耗電量低，適用於須長期保持連接的裝置使用，其中一個最常見的使用例子是現時商場安裝的室內定位器，只要顧客開啟商場的手機應用程式，就可即時掌握所在位置或附近店舖提供的購物優惠。由於這些定位器須長期啟動，而且安裝位置又未必有電源，所以BLE制式便最適合這些裝置採用。 這次由美國Purdue University研究團隊發現的BLESA漏洞，便專門針對在BLE制式下，兩部已進行配對的裝置在重新連接(Reconnection)時，有否進行身份驗證；結果發現，當兩部裝置因超出接收距離或訊號不良而斷線後，在重新連接的過程中不會強制進行身份驗證，可能只需符合相關條件(如裝置名稱、MAC address)便可reconnect。從示範影片可見，研究團隊以電腦假扮一個BLE制式指環，成功與已配對的手機進行連接，並向手機發送兩個互相矛盾的訊息。團隊續指無論是Linux、ios、Android的BLE制式均存在上述漏洞。雖然現時部分作業系統已進行修補，但由於這些BLE裝置大多不支援連線，要逐一拆下來安裝修補檔將會非常痛苦！ 資料來源：https://zd.net/32LFdrP

香港人而家已經習慣電子支付，尤其係疫情下大家為咗避免用實體貨幣購物，更加速咗呢種付費方式。就算用信用卡俾錢，都傾向非接觸式付款，呢種方法嘅好處係設有金額上限，用嚟買啲幾百蚊貨仔嘅嘢，完全唔需要簽名認證，非常方便。不過，一班瑞士學者就發現呢種方法存在漏洞，可以突破金額限制進行交易，對卡主毫無保障！ 正常嘅非接觸式支付過程，係 POS 收費系統發出收費指示後，卡主人拍卡進行付費，如果金額超過上限，就有需要額外輸入密碼去確認，不過專家就喺交換訊息過程中做手腳，將毋須額外密碼驗證嘅訊息傳返俾 POS 系統，成功突破盲腸。不過，要達成呢種攻擊手段，專家話要預備四種材料，首先要有兩部 Android 手機，開發小組研製嘅應用程式同埋一張非接觸式 VISA 信用卡。兩部智能手機要分別安裝 Android 特製程式，令佢哋分別模擬 POS 收費系統及信用卡，而呢兩個特製應用程式係唔需要破解手機先至可以安裝，專家話佢哋已成功喺 Google Pixel 及華為手機上試驗過，同埋亦喺真實店鋪內成功通過測試添！ 至於運作過程又係點呢？首先扮演 POS 系統嘅…

「邊個作業系統最安全」呢個題目，龍頭資安企業與學術界肯定發表意見，民間高手亦在 Reddit、知乎甚至 YouTube 拍片分享高見，但多年爭論依然傾唔到標準答案，說服江湖。再加上推出新版本 OS 或更新、黑客手段演化等變數，令呢個爭論可以無限伸延落去。 Windows 真係咁脆弱？ 研究數據指出，全球電腦中有 77% 使用 Windows 作業平台，能夠上網的話，比例更大幅增加至 88％（呢點好重要，因為主流黑客都係透過網絡發動攻勢）。任何人都希望自己嘅「產品」可以打入最大市場，將利潤最大化，黑客都唔例外。即使一款惡意程式未必能夠侵略所有版本的 Windows，但相比市佔率只有 2％ 的 Linux 家族，主流幾代 Windows…

「今時今日駛鬼裝防毒軟件咩？靠電腦/電話系統內置嘅防毒功能都夠做啦！」唔知你身邊係咪總有一兩個朋友係咁諗，不過唔好咁老定，正如香港人喺一個月之間，差唔多人人都要裝 VPN 傍身嘅時候，你就知道，網絡安全係愈謹慎愈好，想知點解明明本身有防毒系統，都要再裝防毒軟件同 VPN ？就等著名 I.T 雜誌 PC Magazine 嘅網絡安全分析師 Neil J. Rubenking 話過你知。 Window 篇——釣魚電郵、虛假網站表現麻麻 Windows 機本身都內置 Microsoft 防毒系統…

肺炎疫情下個個提心吊膽，街又唔出，冇啖好食，確實十分之唔方便。正正喺呢個大家最應該齊心合力對抗病毒嘅時候，竟然殺出一團嚟自俄羅斯嘅「程咬金」？ 建基於俄羅斯嘅 APT29 一直係網上知名嘅黑客團體。平時已經唔係 D 咩善男信女，專做埋 D 非法勾當。但今次佢地真係玩大咗——好搞唔搞，走去 hack 全球人類最需要嘅肺炎疫苗。已知有份參與呢個行動嘅 Hacker 包括自稱 “Cozy Bear” 同 “The Dukes”嘅人。佢地活用 Spear Phishing 同自製嘅…

國安法生效，要求全宇宙社群媒體平台配合，提供香港使用者資料，Google、Facebook、Twitter 隨即宣佈暫停向香港政府提供香港用戶數據。不過 Google 同 Facebook 有香港分部，若果中國嚴正執法，到底佢哋選擇撤出香法市場定配合法例跪低？而其實不論前者定後者，係人都知科企免費提供服務換取你的資訊，但實質掌握咗幾多會點樣用，你又知唔知？ 的確 Google 6 月宣佈替用戶自動刪除個人數據，但只限政策公佈後的新登記用戶，並預設儲存 18 個月後才刪，宣佈前經已係 Gmail 15 億用戶與 Android 25 億用戶嘅話，除非你主動更改設定，否則 Google 會永久儲存你的個人數據。CNET…

「N號房」事件相信大家聽過，呢單喺韓國轟動一時嘅性犯罪案件，背後嘅犯罪集團正正係透過通訊軟件Telegram以加密方式營運，令好多人關注通訊軟件會唔會變罪犯溫床。最近英國國家刑事局（NCA）就聯同埋歐洲國家執法機構，破解咗不法之徒利用一種叫「EncroChat」嘅秘密通訊軟件，成為英國歷黎最大規模同最尖端嘅執法行動。 喺今次行動入面，單單英國國家刑事局人員就拘捕咗746人，起出咗5400萬英鎊（多過5.1億港元）贓款、77件武器、超過2噸毒品，成功搗破不法份子用嚟販毒同走私軍火嘅高度機密通訊網絡。喺被搜出嘅武器之中，包括半自動機槍、手槍、4嚿手榴彈、1支 AK47 步槍同埋超過1800發子彈，同時充公咗55架名車同73隻名貴手錶，可想而知，涉及嘅案件規模有幾大型。 根據消息，被捕者之中更加包括一啲犯罪組織大佬，如果屬實，今次真係直搗黃龍。除咗喺英國落網嘅個700幾人之外，其餘涉案者喺歐洲其他地區被捕，一共拉咗超過800人，法國、荷蘭警方同歐洲刑警都有份參與，成個調查行動用咗超過三個月。 「EncroChat」呢隻App係源自法國，可以喺Android 手機下載同安裝，估計全球有6萬個用家，喺英國就大概有1萬人用緊，但係而家已經下咗架兼停用。英國國家刑事局形容隻App已經淪為罪犯嘅「犯罪市場」，佢吔會專門利用呢個加密平台黎聯絡溝通，籌劃各種非法勾當，例如販賣違禁品、洗黑錢、買兇殺人等罪行。 根據「EncroChat」嘅網站介紹，用家除咗可以加密通訊之外，仲可以自已set 指定時間，令收發訊息自動毀滅。除咗提供加密通訊軟件之外，「EncroChat」仲會賣加密手機，每部賣900英鎊（即係大約8600港元），而且要另外俾使用費，六個月費用就係1350英鎊（即係大約1.2萬港元），咩人先會用到呢啲電話？你懂的。 資料來源：https://zd.net/31X6Aii 相關文章：【Telegram都出事？】北韓黑客偷加密貨幣開發核武

鍾意試唔同手機 app 功能嘅玩家，都會時不時去 App Store 搵嘢玩，好似 Android 用戶就會去返 Google 嘅 Play Store，一心以為有官方認證，一定會好安全，但實情係唔少惡意軟件都成功避過 Google 嘅安全檢測，最近就有法國網絡安全公司 Evina，喺 Play Store 上發現咗 25 款由同一黑客組織推出嘅有餡…