美國證券交易委員會（SEC）本月初宣布有關比特幣（Bitcoin）的消息，但在宣布前一日，其 X 帳戶卻被黑客入侵，並將消息「提前發布」。SEC 公布調查結果，發現黑客透過 SIM 卡交換攻擊（SIM swapping），盜用了該帳戶，更發現帳戶未有採用多因素身分驗證（MFA），令黑客有機可乘。 想知最新科技新聞？立即免費訂閱 ！ 「假消息」致比特幣價格飆升 今年 1 月 10 日，SEC 宣布正式批准包括比特幣（Bitcoin）現貨 ETF 在內的交易所交易產品（ETP）的上市與交易，不過其 X 帳戶@SECGov，卻提前一日（1…

SIM-swapping (SIM card偷換) 攻擊雖然主要在歐美地區發生，但既然愈來愈多港人準備移民，當然要了解一下如何避免成為這種攻擊方法的受害者，特別是去年因 SIM-swapping 導致的損失高達過億美元，當中更有著名 KOL、體壇明星、名人，千萬不能掉以輕心。 所謂 SIM-swapping 攻擊，是一種透過非法手段，從電訊商員工手中騙取其客戶電話號碼使用權的攻擊，例如假扮其客戶訛稱遺失手機，要求電訊商員工將其電話號碼收到的來電、SMS 短訊全部轉接至另一號碼，或重設該客戶的登入密碼等。騙徒亦可以直接賄賂電訊商員工進行上述操作，不過由於被查出的風險較高，所以一般都會以詐騙手法達成。不知道是否因為歐美與亞洲存在的文化差異影響，這類騙案較少在亞洲發生，而歐美等地則非常猖獗。如想了解為何能夠輕易騙取電訊商員工更改號碼，可以參考以下社交工程 (social engineering) 攻擊的經典示範。 https://www.youtube.com/embed/BEHl2lAuWCk?wmode=transparent&rel=0&feature=oembed 騙取到電話號碼使用權後，如騙徒手上已持有該客戶的一些帳戶登入資料 (如銀行或 Facebook 帳戶)，而又需要額外 SMS…

政府明日（1 月 30 日）就引入電話智能卡實名登記制度的安排展開公眾諮詢，徵詢電訊業、相關持份者和市民的意見，指為促進本地電訊服務發展，及有效打擊涉及電話智能卡的犯罪活動。 現時本港流動電話用戶主要透過智能卡服務計劃（服務計劃）和預付儲值電話智能卡（電話儲值卡或俗稱「太空卡」）使用相關服務，其中電話儲值卡用戶無須簽訂固定合約或登記個人資料。 政府指，由於電話儲值卡的匿名性質被不法之徒利用作違法活動，但現時並無法例規定須登記此類儲值卡用戶資料，執法機關難以追查、鎖定這些違法活動的幕後涉事人，又指過去有不少電話騙案，利用電話儲值卡匿名性質犯案。匿名儲值卡經常被用於各式各樣的騙案，包括電話騙案、網上購物騙案、求職騙案、投資騙案等，令受害市民蒙受損失。 商務及經濟發展局局長邱騰華表示，有迫切需要透過引入實名登記制度，堵塞漏洞，防止和協助偵查涉及使用電話儲值卡的罪案，並維持市民對本港電訊服務的信心。保安局副局長區志光則指，涉及本地流動電話犯案的嚴重罪行中，超過七成涉及使用匿名儲值卡，而電話騙案當中的比例更高達九成，匿名儲值卡有利不法之徒逃避身分識別、追蹤和偵查，即使犯案人士被捕，幕後的犯罪集團主腦往往能置身事外，而盡快落實實名登記制度，有助打擊和防範不法之徒利用匿名儲值卡犯案，從而保障市民的人身和財產安全。 政府計劃透過《電訊條例》訂立規例實施電話智能卡實名登記制度，提供所需的法律基礎讓電訊商按規例的要求登記、收集和儲存用戶的登記資料，將涵蓋所有由本地電訊商發出及在香港使用的電話智能卡。 實名登記制度主要規定如下： （一）用戶須提供身分證明文件（香港身份證或其他可接受的身分證明文件如旅客的旅遊證件）內的資料，包括姓名、出生日期和身分證明文件號碼及其副本，以作登記； 若公司或企業要登記成為電話智能卡用戶，則須提供其商業登記資料及指定某人士作為代表或負責人，並提供該名人士的個人資料； （二）16歲以下人士如需登記電話智能卡服務，相關登記必須得到一位「合適成人」的確認； （三）每名用戶只可向每間提供公共流動服務的電訊商登記不多於三張電話儲值卡； （四）電訊商應核對、釐清及核實用戶提供的資料，並在有合理理由認為有關資料屬虛假、誤導或不完整的情況下，取消有關電話智能卡的登記； （五）電訊商需在電話智能卡取消登記後，保存相關登記用戶的紀錄最少12個月； （六）登記的個人資料由相關電訊商保存，不會向他人包括政府或執法部門披露。執法部門在有需要時才可按規例向電訊商索取電話智能卡的登記資料； （七）按規例執法部門只能獲取電話卡的登記資料（即姓名、基本身份證資料），並不包括通話紀錄及內容。在一般情況下，執法部門須得到法庭手令，但在某些迫切或緊急事件的特殊情況下（例如涉及炸彈恐嚇、綁架等嚴重罪案），執法部門可在一名不低於等同警司職級的人員授權下，要求電訊商在沒有法庭手令下提供電話智能卡的登記資料。 為讓電訊商作好準備以遵照登記規定，政府建議登記制度分階段進行，規例生效 120 日後出售的新儲值卡及服務計劃才開始按規例作登記，屆時所有新的電話智能卡須先登記後才可啟用。按目前的建議，所有電話智能卡須於規例生效後的…

唔好講咁多，即刻掹咗張 SIM 卡出嚟先，因為最新發現嘅呢個漏洞，正影響緊全球 10 億以上流動網絡用家，黑客只要發出一個含有惡意代碼嘅 SMS，就可以發動 SIMjacker 攻擊，喺你部裝置上面執行惡意程式，暗中控制你部裝置，包括打電話、發送假訊息、報告位置、傳輸數據、停用 SIM 卡，甚至執行其他惡意指令。由於漏洞存在喺 SIM 卡上，所以無論你用邊款手機，以及各種可以插 SIM 卡上網嘅裝置，例如平板電腦、IoT 裝置，統統走唔甩，而且暫時係完全無修補方案，你話除咗掹 SIM 卡靠 Wi-Fi 上網之外，仲可以點做呢？ 呢個核彈級…

英國零售巨頭 Marks and Spencer（M&S）確認近日遭受勒索軟件集團攻擊，導致伺服器癱瘓，受影響的包括虛擬機被加密、網上訂貨系統及電子支付系統失靈，200 個貨倉的員工被迫停工。據報導，事故源頭是黑客成功盜取 M&S 的 NTDS.dit 檔案，從而取得權限在內部執行橫向移動及加密虛擬機，令整個集團的營運陷入停頓。 想知最新科技新聞？立即免費訂閱！ 據安全媒體報導，這次 M&S 入侵事件源於 Scattered Spider 勒索軟件集團成員早在今年二月成功竊取 Windows Active Directory 的核心數據庫文件…

全球領先由數據驅動、客戶端至雲端的網絡安全解決方案供應商 Arista Networks，在香港市場推出了創新的 Arista Guardian for Network Identity（AGNI） ，是一款由雲原生和 AI 驅動的網絡訪問控制（Network Access Control, NAC）解決方案，適合企業採用。 香港面臨的網絡安全挑戰 香港作為國際金融中心，在網絡安全上面臨重大的挑戰。隨著混合工作模式的興起，員工可以從不同地點及非托管設備（包括 BYOD 和物聯網終端）訪問企業網絡，這增加了不同渠道的網絡攻擊，而不斷升級的勒索軟件和釣魚攻擊亦持續威脅網絡安全。這些網絡攻擊，特別針對香港的關鍵行業，例如：金融、物流和貿易等。若關鍵行業一旦被攻擊成功，有機會造成巨大的經濟損失。傳統本地部署的 NAC 解決方案難以應付，通常需要昂貴的硬件升級和複雜的管理，而舊有的安全協議亦存在防護漏洞。…

早前紐約檢察院披露一宗同網上購票平台 StubHub 有關的重大盜竊案，兩個在外判公司 Sutherland Global Services 工作的員工涉嫌利用系統漏洞，盜取顧客購買的高人氣節目門票，當中包括 Taylor Swift Eras 巡迴演唱會等，並在網上轉售後非法獲利近 63.5 萬美元，零成本賺到盡。 想知最新科技新聞？立即免費訂閱！ 講到黃牛飛，香港人應該再熟悉不過，但凡知名歌手開演唱會，歌迷往往敵不過炒家的「高科技」訂購手法，最終只可以上網捱炒價。不過，這次案件的犯人就完全毋須同人爭，坐定定等收飛。 根據紐約檢察部門公佈的資料可見，主要被告 Tyrone Rose 及 Shamara…

有 Google 內部人士透露，Google 正計劃淘汰 Gmail 基於發送一次性 SMS 驗證碼進行多重因素驗證（MFA）的做法，改為產生 QR Code 讓用家在登入帳戶時進行驗證。雖然這種驗證手法亦非萬無一失，但卻可提升黑客向目標騙取或攔截 SMS 驗證碼的難度，減少用家帳戶被騎劫的風險。而且有跡象顯示黑客亦似乎正在順應大勢，開始探索濫用 QR Code 的可能性，用家不得不防。 想知最新科技新聞？立即免費訂閱！ 服務供應商轉用其他手法 過往使用 SMS…

全球擁有 4 億用家的網站管理平台 WordPress 再被爆出安全漏洞，發現漏洞的安全研究機構 Wordfence 更指這個漏洞的嚴重性在其成立 12 年的歷史中屬最罕見案例，因為它允許黑客遙距發動攻擊，可輕易獲得受影響網站的完全管理權限。現時約有 350 萬個網站可能暴露在這次安全漏洞之下，網站管理員必須即時檢查有否受影響並更新版本，才能阻止黑客入侵。 想知最新科技新聞？立即免費訂閱！ 官方插件出現嚴重身份驗證漏洞 這次安全事故的兆因出在 WordPress 的官方插件 Really Simple Security（前身為「Really Simple SSL」）之上，研究員發現在 9.0.0…

疫情促使企業轉向數碼化的趨勢快速發展，引發網絡安全生態發生數個重大變化。全球步入數碼時代，今時今日的企業需要更多工具、應用程式、存取和連接。另一方面，企業併購、週期性的人員變動、雲端採納持續增加等多種變數，要有效且有效率地為用戶提供相關必要資料的存取權限變得更加複雜困難。 想睇更多專家見解？立即免費訂閱！ 身分數量龐大　僅手動程序難應付 企業面對管理包括員工、承辦商以至機器等數以百萬個身分，而這些身分與大量存取點連接，當中又附連不同的存取權限等級要求，必須審慎管理。要應付如此繁重的工作，企業卻通常僅依賴身分驗證和聯合身份驗證來核實員工的存取權，惟這也缺乏治理監督，未能妥善管理誰有權存取甚麼資料。更令人擔憂的是，有企業仍然依賴手動程序來授予資源存取權限，然而身分數量龐大，手動程序根本無法持續監控、分析及評估風險。 香港企業面對的網絡威脅趨增，去年錄得的企業網絡攻擊報告便有 37 宗，比 2022 年的 24 宗增加 54%；呈報的虧損則從 2022 年的 70 萬港元增至 210 萬港元（268,400美元）。 在此背景下，Verizon 最近的數據顯示，86%…