雖則全球每日都在發生入侵企業事故，不過，其實很多時黑客並非通過搜尋 IT 漏洞達成任務，而是用更簡單的方法，例如花點時間騙取目標企業員工的帳戶登入資料，或索性用暴力破解（brute force）或密碼噴灑（password spraying）猜測帳戶密碼。 想知最新科技新聞？立即免費訂閱 ！ 根據《2023 年 Verizon 數據洩漏調查報告》提及，在 2021 年 11 月至 2022 年 10 月期間發生的數據外洩事件中，有 83%…

數據洩露經常發生，幾乎每天都聽到相關事故。無論是甚麼行業、部門、地方，受害組織的規模從小型企業，至國際大企業都不能倖免。IBM 估計，2021 年美國公司的數據洩露平均成本為 424 萬美元，當涉及遙距工作，損失平均更增加了 107 萬美元。這篇文章將講解如何檢查自己的資料有否遭外洩及數據外洩的風險等問題。 企業遭遇數據外洩事故，其成本可包括以數百萬美元修復受損系統、執行網絡取證、改善防禦和支付法律費用，還涉及受數據洩露影響的個人客戶流失所致的損失。對於個人而言，損失可能就會變得個人化，損失或可能是工資、儲蓄和投資資金。 數據洩露是如何發生的？ 根據 IBM，網絡攻擊者闖入公司網絡的最常見的初始攻擊手段，多數是利用外洩的憑證，這種方法佔了 20%。這些憑據可能包括線上洩露的帳戶用戶名和密碼，可能在單獨的事故中被盜；或是從暴力攻擊獲得，例如以自動劇本嘗試不同的組合，來破解易於猜測的密碼。 其他潛在的攻擊方法包括： Magecart 攻擊：British Airways 和 Ticketmaster 等公司都曾遇過這些攻擊，即惡意代碼被悄悄加入電子支付頁面，以偷取信用卡資料。 在網站…

人工智能技術提高攔截釣魚電郵的準確度，於是網絡罪犯又變陣，反利用人工智能盲點避開攔截。最新方式是利用算術符號取代知名品牌logo上的文字，例如美國電訊商 Verizon，就俾罪犯用平方根符號代替V字，驟眼睇好似 logo 原貌得來又有些微差別，令電郵呃到人又呃到人工智能，高招！ 網絡安全業界均肯定人工智能技術，必然有助提升惡意行為的攔截率，因為它具備機器學習功能，而且又能快速從不同渠道搜集網絡威脅資訊及趨勢，因此無論在調查及處理速度、標準化上，都較人類優勝。不過，始終人工智能的演算法都會依循一定規條，因此只要掌握它的規則，便有辦法找到入侵盲點。以這次打著 Verizon 旗號的釣魚電郵為例，一般人工智能技術都會著重檢查電郵內的品牌標誌是否偽造、內含的跳轉連結是否已被確認用於惡意行為等。網絡罪犯就利用這個規則，以平方根取代品牌的 V 字，令人工智能不會認為它是偽造的 Verizon 標誌，成功通過第一關。 不過，網絡罪犯當然不會單靠這招通關，這次發現的釣魚電郵攻擊還有其他招數。當收件者信以為真，點擊電郵內的語音留言 button，就會將收件者帶到一個虛假的 Verizon 網站。由於這次的目標是要令收件者以為正在瀏覽官方網站，所以網站的圖文排版都抄襲得一模一樣，專家指罪犯偷用了官方網站的 HTML 及 CSS 素材，因此才能令收件者信以為真。網絡罪犯亦特別利用新的 domain…

如果你是酒店職員，見到有入住客人行李內有一大堆充電線，你會否懷疑對方有不軌企圖？傻啦，香港人 Staycation 會帶備大量電子產品，有一抽 cable 有幾奇？偏偏英國一間酒店的職員，就因為懷疑客人而報警，結果先捉到 SMishing 詐騙犯咋！ SMishing，泛指經 SMS 發送詐騙訊息，令接收一方相信訊息的內容，從而點擊內裏連結或致電回覆，從而騙取更多個人資訊的方法。它可算是點擊內裏的手法釣魚攻擊 (Phishing) 的一種，但由於以 SMS 為攻擊媒介，因此名字才有不同。早前美國電訊商 Verizon 發表的 Mobile Security Index 2020，便指至少有 17% 的釣魚攻擊源自 SMishing，可見普及性絕對不容忽視。 正如上面所講，英國曼徹斯特警方上星期接獲酒店職員通知，最終在酒店房間擒獲一個21歲青年，懷疑使用大量 SIM卡…

Gartner 調查發現 30％ 至 40％ 美國打工仔在後疫情時期繼續遙距工作，後續訪問 Chief Information Security Officer 的調查則反映，因應遙距工作新常態，企業有必要重整資安對策與配套，保障企業資訊不被竊取、定期 備份與災後自動復修，而多數意見認為把 End-point Protection Service 設於雲端最為重要。 速度、規模化、敏捷性 保留沿用的 Legacy Software…

美國最大燃油供應商 Colonial Pipeline 早前遭勒索軟件（Ransomeware）突襲，要啟動應急方案，暫停所有的管道作業。這宗影響美國東岸 45％ 燃料供應的網絡攻擊，驚動美國政府，運輸部當日（5 月 9 日）宣佈全國進入緊急狀態，總統 Biden 需親自回應事件。而經 FBI 調查後，揭發幕後黑手為 2020 年 8 月組團的 DarkSide，後者除了滲透 Colonial Pipeline…

今時今日，打仗未必一定要先出動飛機大炮，單是網絡攻擊，已經可以癱瘓一個國家的運作及情報網絡，掃除進擊的障礙物。例如美國佛羅里達州一個市鎮的輸水系統最近就被黑客入侵，黑客試圖將用作調節食水酸鹼度的化學物混合量，調高約 110 倍，如果無及時阻止，15,000 個市民就大件事喇…… 工業控制系統（Industrial Control System, ICS）掌管國家命脈，以發電網、輸水系統、運輸網絡、核電廠等設施為例，背後都必須有 ICS 管理，所以這些重要設施自然會成為攻擊目標，只要斷水斷電，國家就會陷入一片混亂及恐慌，例如烏克蘭 2016 年全國大停電 7 日，據外界估計就是受到俄羅斯國家級黑客襲擊。而今次發生在佛羅里達州 Oldsmar 市輸水廠的入侵事件，暫時未知黑客的身份及意圖，只知道黑客嘗試將混入食水調節酸鹼度的化學物氫氧化鈉的份量，由每 100 萬單位含 100，調升至 11,100，足足達…

疫情下網購成為新常態，黑客自然會與時並進，利用相關付款工具發動釣魚攻擊。最近手法是透過 SMS 發出 PayPal 帳戶受限制的訊息，假扮官方通知用家的帳戶須重新驗證方可使用。PayPal 用家如收到類似短訊，切記直接刪除！ 釣魚攻擊 (Phishing) 主要是指透過虛假電郵或訊息，引誘收件人點擊內裏的連結，騙取帳戶登入資料。其中一種方式叫作 SMishing，即以 SMS 短訊為攻擊媒介，早前美國電訊商 Verizon 發表的 Mobile Security Index 2020，便指至少有 17% 的釣魚攻擊源自…

釣魚攻擊（Phishing attack），絕對係成本低、回報高嘅熱門網絡攻擊。雖然釣魚攻擊仲可以分為魚叉式（Spear Phishing）及商業詐騙（Business Email Compromise）等，但由於係針對指定對象攻擊，黑客要投入更多時間去理解偽裝角色同受害人的關係，所以無釣魚攻擊咁普遍。一般嚟講，無差別攻擊主要係用作盜取帳戶登入資料，例如 Microsoft Office、PayPal 等等，黑客首先會偽造相關網站登入版面，再用電郵將連結漁翁撒網式寄出去，等待獵物上釣。一旦收件人誤信連結內容為真，就可能到偽造網站親手輸入自己嘅登入資料，黑客就可以入侵相關帳戶。受害人不單止可能遭受信用卡盜用損失，如果係公司帳戶資料，更會連累公司機密資料外洩添！ 為咗研究釣魚攻擊喺今年頭半年嘅特色，網絡安全公司 IRONSCALES 研究員就對相關嘅偽造登入網頁進行調查，結果發現頭半年有超過 5 萬個假網站，冒充超過 200 個全球知名品牌。其中被冒認得最多嘅 5 個品牌，分別係 PayPal、Microsoft、Facebook、eBay 同埋 Amazon，而…

會計部初級職員錯信釣魚郵件，令世界最大嘅飛機零件製造商 FACC 損失約 5 千萬美元，時任 CEO 同 CFO 雙雙被炒，更被企業以「沒有盡責防止事件發生」 為由告上法院。法庭最終沒有受理案件，但足以反映呢個低成本行騙模式嘅利潤與破壞力，隨時令 CEO 躺著也中槍。 釣魚攻擊嘅相關個案不斷上演，而且觸及各行業同層面，唔係科網業嘅安全意識就特別高，你睇 Facebook 同 Google 不單喺受害者名單上，損失更係史上 Top 3 之列，所以大企業都唔敢輕視呢種攻擊手法，將防禦術編入入職培訓課程。搞係搞咗，但到底有幾多人留心聽書？…