密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵，不過，事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情，換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實，就可說是其中一個網絡安全案例正確示範，企業管理者不妨參考一下。 為了保障帳戶的安全性，不少用家都會聽專家之言，起碼會為帳戶採用強密碼，即密碼結合大細楷英文字串、符號、數字，以及密碼至少有 8 個位長度。不過，有調查指現時一般人至少擁有過百過網上服務帳戶，如果密碼要夠長及複雜，而且又要為每個帳戶設立不同密碼組合，相信很少人有能力做到，於是網絡安全專家會建議網民使用密碼管理服務，例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱，但如果密碼管理服務供應商遭受入侵，用家儲存的帳戶資料便有機會一次過被盜取，所以當 LastPass 上月爆出遭入侵事故時，不少用家都相當憂慮，因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告，指出這次黑客雖然成功入侵公司的開發環境，假扮成公司其中一個開發人員並為帳戶通過多重因素驗證，不過，公司卻未有太大損失，原因主要有兩點。 首先，官方指 LastPass 有嚴格控制產品推出流程，即使黑客在這次事件中能假扮 Development Team 員工，但由於產品必須經過…

數據洩露經常發生，幾乎每天都聽到相關事故。無論是甚麼行業、部門、地方，受害組織的規模從小型企業，至國際大企業都不能倖免。IBM 估計，2021 年美國公司的數據洩露平均成本為 424 萬美元，當涉及遙距工作，損失平均更增加了 107 萬美元。這篇文章將講解如何檢查自己的資料有否遭外洩及數據外洩的風險等問題。 企業遭遇數據外洩事故，其成本可包括以數百萬美元修復受損系統、執行網絡取證、改善防禦和支付法律費用，還涉及受數據洩露影響的個人客戶流失所致的損失。對於個人而言，損失可能就會變得個人化，損失或可能是工資、儲蓄和投資資金。 數據洩露是如何發生的？ 根據 IBM，網絡攻擊者闖入公司網絡的最常見的初始攻擊手段，多數是利用外洩的憑證，這種方法佔了 20%。這些憑據可能包括線上洩露的帳戶用戶名和密碼，可能在單獨的事故中被盜；或是從暴力攻擊獲得，例如以自動劇本嘗試不同的組合，來破解易於猜測的密碼。 其他潛在的攻擊方法包括： Magecart 攻擊：British Airways 和 Ticketmaster 等公司都曾遇過這些攻擊，即惡意代碼被悄悄加入電子支付頁面，以偷取信用卡資料。 在網站…

密碼管理服務供應商 LastPass 最近向大批用家發現電郵警告，指他們的帳戶出現不尋常的登入記錄，更聲稱已為用家阻截登入，呼籲用家盡快修改密碼及啟用雙重因素驗證 (two-factors authentication) 功能。不過，LastPass 堅稱並未發生數據外洩事件，但就有受影響用家聲稱登入密碼未有共用於其他帳戶，真相到底是？ 為了保障各種帳戶的安全，不少人都會為每個帳戶設定獨一無二的強密碼 (strong password)，即在字元長度、字符組合複雜程度上均達到一定標準的密碼。不過，並非所有人都有超人記憶力，因此要管理所有帳戶的密碼，便必須借助密碼管理器 (password manager) 記錄，而用家日後要取得這些帳戶登入資料，便只須記著一個密碼管理器的登入密碼，上述的強密碼應用才變得可行。 LastPass 便是其中一款最多人使用的密碼管理器，但就在近日內，有 LastPass 用家收到官方發現的電郵警告，稱其帳戶出現可疑登入，雖然對方使用了正確的帳戶登入資料，但由於登入的位置與用家平常有很大出入，系統站於安全立場，已先為用家進行攔截，並建議如登入並非由用家自己執行，便應立即更換密碼及提升安全檢查功能。LastPass 方面堅稱內部未有發生任何數據外洩，相信黑客是從其他數據外洩事件中取得用家的帳戶登入資料。 不過，有 LastPass…

Google 發表安全報告，綜合去年在自家雲端平台上部署的不安全實例 (instances) 被入侵數據顯示，黑客最快只需 22 秒，便能在相關 instances 內安裝挖礦軟件，盜用受害者資源搵錢，而且 58% 入侵事件都能做出以上「佳績」，快過你沖杯咖啡！ 現時不少企業都會將工作移至雲端平台，不單可以節省成本，而且亦可以彈性加減所需運算資源。Google Cloud Platform 是其中一個最多人使用的平台，但使用者卻未必有足夠的安全意識，讓黑客可以快速入侵，盜取機密知識產權，或安裝挖礦軟件，免費使用受害者租用的運算資源挖礦加密貨幣。根據 Google 發表的報告顯示，以後者為目標的入侵明顯佔最多，幾乎 86% 因設定出錯而被入侵的 instances 都屬於此類。…

Black Friday 將至，相信不少網民已磨拳擦掌，準備大舉掃平貨。黑客同樣準備好過肥年，英國網絡安全中心 NCSC 正加緊巡查國內的電子商貿平台，特別是由中小企所成立的網購網站，由於缺乏安全意識，以至 NCSC 已先後向 4,151 個零售網站發出安全警告，指網站已被黑客入侵，客戶私隱正處於高風險。 不少購平台都會採用電子商務系統 Magento，因為它的功能豐富，但亦同時成為黑客攻擊的頭號目標。例如在今年初，網絡安全專家已指出有犯罪集團正利用 Magento 的已知漏洞，向仍未安裝安全更新的客戶發動攻擊。事隔半年有多，情況似乎未有改善，因此 NCSC 便趕在傳統購物旺季前，加緊於網上巡邏，搜尋國內仍存在漏洞的網購網站，以趕在旺季來臨前堵塞漏露，保護網站及潛在顧客。 一般來說，針對電子商貿平台的攻擊都是以盜取信用卡資料為主，犯罪集團會利用各種方法達成目標，例如於目標網站留言區注入惡意編碼的跨平台腳本 (Cross-Site Scripting) 攻擊，或暗中入侵網站的付款頁面，記錄客戶每一筆消費資料，而盜取的信用卡資料便可讓黑客冒名使用。雖然現時不少 Web…

美國網絡及基礎設施安全機構 (CISA) 發出非常危險行為注意目錄，呼籲企業或機構必須特別提防及避免讓員工犯錯，今次小編就帶大家一齊睇睇，當中有邊幾個項目要盡快達標。 近年勒索軟件事故頻頻發生，特別是美國企業及機構就經常受到攻擊。雖然近來勒索軟件集團的氣焰稍為放緩，不過美國的 CISA 未有放下戒心，反而全速製作一份高風險行為手冊，讓企業或機構能按著手冊內的重點，重新審視現時採用的安全措施是否足夠，以減少美國企業或機構遭受攻擊的機會。當中有三項行為被列為超高風險： 單因素驗證：即在登入帳戶時，IT 系統只要求員工使用其用戶名稱及對應密碼登入。由於大部分人為了貪方便，都傾向採甪簡單的密碼組合及與其他帳戶共用同一密碼，因此只要黑客使用暴力破解 (bruteforce) 便能輕易入侵；而後者亦容易因員工其中一個帳戶登入資料被外洩，繼而引發公司帳戶被入侵。研究發現，如採用多重因素驗證 (multi-factors authentication) 已可阻止 99% 帳戶入侵事件，因此企業或機構應盡快採用。 弱密碼：基本上比起採用單因素驗證更高風險，因為員工如自設的密碼夠強，例如採用無意義的英文字串，加插大小楷及數字符號，黑客要暴力破解也不容易。但如員工採用 password、12345678 或偶像英文名作為密碼，黑客便能瞬間破解。解決辦法是鼓勵企業採用多重因素驗證之餘，可讓員工使用密碼管理器，這樣員工才不會因要記住複雜密碼而頭痛，亦可令他們更易接受為每個帳戶採用不同密碼。 過期軟硬件：又一嚴重危險行為，如企業所使用的軟硬件已停止生產，而製造商或開發商亦停止繼續為產品提供支援，屆時如被發現安全漏洞，企業也不會得到任何保護，而黑客便可利用漏洞大舉入侵。企業應盡早做好升級準備方案，如已知悉產品將被停止支援，便應即時跟進。 資料來源：https://zd.net/3jDVvLA

漫威（Marvel）的超級英雄系列，一直廣受大眾歡迎。Loki 作為 Thor 的弟弟最近在一場「戰役」中，竟然勝過「大佬」，而這件事竟是與密碼有關，是怎麼一回事呢？ 資安專家 Davey Winder 在 Forbes 分享，很多人在創建密碼時，都會將超級英雄的名字融入當中，不過 Winder 指出這個創建密碼的方式其實很糟糕：據密碼專家 Specops 最新發表的研究指出，超級英雄的名字在已洩露的個人憑據數據庫中，出現了超過 100 萬次。而漫威的超級英雄中，誰的名字在這批外洩密碼中名列前茅？答案就是 Loki 和 Thor。Loki 作為密碼出現的次數為…

密碼管理器一般都附帶有產生密碼功能，Kaspersky Password Manager 亦無例外，不過，有網絡安全研究員就發現它產生密碼的方法原來有跡可尋，而且不同用家在同一時間獲派的密碼更是一模一樣，咁都得？ 戴返頭盔先，由網絡安全研究所 Ledger Donjon 發現的 Kaspersky Password Manager 密碼產生器缺陷，確實存在的日期是在兩年前的六月，經研究員 Jean-Baptiste Bedrune 向 Kaspersky 通報後，相隔一個月已有更新檔推出，效率非常之高。而 Bedrune 相隔兩年先舊事重提，純粹是分享有關密碼產生器應有的安全考慮。 Bedrune…

幾時都話，用短訊或電郵做 2FA 雙重驗證唔係絕對安全。雖然 Google 今年初先加強咗 Android 系統嘅 2FA 驗證漏洞，阻止第三方應用軟件開發公司擅自讀取 SMS 或通訊資料。不過最近已經有研究員發現有 Android 惡意軟件可以繞過此防線，繼續盜取一次性密碼 （OTP, One-Time Password）。 研究員 Stefanko 喺早前發現，一款冒充土耳其加密貨幣交易平台 BtcTurk…

不少人喜歡以自己身邊的事物，就地取材設置成密碼，但愈容易被猜測的密碼，例如寵物的名字、家人的名字、紀念日、最喜歡的球隊名，甚至是直接用「Password」當密碼，轉個頭隨時就被黑客入侵！國家網絡安全中心（NCSC）指，保護帳戶要記得不要用上述的因素。 NCSC 發表的研究指出，15％ 的人使用了寵物的名字作為密碼，而 14％ 的人則使用了家庭成員的名字，另有 13％ 的人使用了重要的日期，例如生日或週年紀念日，而 6％ 的人使用自己支持的運動隊伍名稱作為密碼。儘管這些密碼相當易記，但同時增加了帳戶被犯罪分子入侵的風險。黑客可能會從社交媒體帖子中獲取相關資訊，從而猜測到在密碼提示，如寵物的名字之類的答案，然後就可以嘗試藉此入侵帳戶。 黑客也會使用攻擊工具試圖破解賬戶，如帳戶使用簡單的單字作為密碼，更相對容易被破解。使用「Password」這類密碼，變相為網絡犯罪分子提供開啟入侵賬戶的大門。 通過使用防禦強度弱的密碼，可能會將個人信息或財務狀況暴露於危險之中，尤其是在多個帳戶中，都重複使用相同的密碼。如果被竊取的密碼還用於公司帳戶，黑客若試圖以此查看個人帳戶密碼也可用於公司帳戶，受害人隨時令僱主面臨網絡攻擊的風險。 NCSC 提供以下的建議：使用三個隨機單詞作為密碼，保護帳戶。這是因為三個單詞相對容易記住，而且運用隨機的三個單詞，即使黑客運用蠻力工具，仍可阻止他們以猜測密碼的方式進入帳戶。NCSC 還建議用戶須確保電子郵件密碼與其他帳戶的密碼不同，因為如果攻擊者竊取了電子郵件用戶名和密碼，他們可使用受害人的電郵地址作為其他網站的登錄名稱。 除此之外，NCSC 亦建議用戶將密碼保存到網絡瀏覽器，因為用戶能夠輕鬆登入網站，還有助於保護受網絡罪犯侵害，例如瀏覽的網站是竊取憑據的假冒網站，密碼管理器將無法正常運作。NCSC 亦建議用戶應啟用兩重因素身份驗證，以進一步作屏障。 資料來源：https://zd.net/3wMiNU4