數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

DEFCON 網絡安全大會，每年都吸引到好多業內高手或黑客出席；所以如果你所屬組織長期需要呢一方面嘅專家，呢類型嘅黑客大會就係最佳揀蟀機會。好似喺今次大會，就連美國國防部人員都到場，目的就係說服有識之士為國家效力！ 五角大樓長期缺人 今次 DEFCON 其中一個亮點，就係將成間醫院嘅設備搬咗入 BioHacking Village 俾大家試 hack。但同一時間，喺今屆首設嘅 Aviation Village 入面，亦放咗部 F-35 戰機駕駛模擬器喺度俾入場人士了解下。喺啲咁嘅場合，美國國防部有人喺度絕對合理，但呢個剛啱喺今年 4 月上任嘅 Defense Digital Service（DDS）https://dds.mil/…

Google Assistant、Amazon Alexa、蘋果 Siri 及微軟 Cortana 相繼被揭發將用戶對話語音檔交予第三方，作轉錄抄寫並進行分析。剛剛 Facebook 亦承認，將 Messenger 用戶嘅語音通話交出去轉錄抄寫，美國五大科技公司一個不漏，齊晒！唔想私隱外洩？都係快快刪除語音助理通話紀錄啦！ Amazon 及 Google 早於年初被揭發同類問題，其 Echo 及 Google Assistant 嘅用戶對話語音檔被送去分析，雖然所有錄音都係喺功能啟動後先被記錄，但其內容仍然非常私人，如包括醫療資訊、毒品交易乃至親密情節。由於私隱問題備受爭議，Google、Apple…

唔單只牙線唔可以交換用，就連手機充電線都唔得，因為都有可能引發病毒感染㗎！ 近排搭車成日碌手機睇新聞睇片，搞到部 iPhone 好快無電，相信唔少 iPhone 用家都會喺公司擺多條 Lightning 線駁電腦充電。但你有無諗過，插住果條線好可能係鬼線，只要你開著電腦做嘢，隨時可以俾黑客偷走資料？ 手機充電線內藏病毒 其實好多手機用家對充電線都無乜戒心，基本上有需要時就會四圍問人借線充電。理解嘅，因為咁細條充電線，可以惡得去邊丫？有黑客為咗提高公眾對充電線嘅安全意識，特別整咗條像真度高達 100 % 嘅 Lightning 線出嚟，但就內置 Wi-Fi 接收器同惡意軟件，只要目標人物將呢條線插入電腦，黑客就可以透過 Wi-Fi 訊號發出指令，指示惡意軟件執行特別任務，例如引導瀏覽器去釣魚網站，又或將電腦進入鎖定模式，強制要用家輸入登入資料，從而盜取登入系統權限。當然，職位愈高，帳戶可接觸嘅公司資料都愈機密。 製作呢條古惑…

之前都報導過唔少關於 Google Play Store 內嘅 app 藏有惡意程式嘅消息，呢種由源頭落毒嘅手法，令到好多人都唔為意中咗毒。理解嘅，因為大家傾向相信 Play Store 內嘅應用軟件係安全，Google 一定會檢查清楚先俾佢上架，再加上自己已經無安裝來源不明嘅 app，但黑客正正就係利用呢種天真嘅諗法，所以供應鏈攻擊（supply chain attack）先會咁多人中招。 不過，將惡意軟件放上 Play Store，除咗要瞞過 Google 監察，仲要等人自己下載嚟用，好似唔多夠效率，慢慢黑客就發現仲有進步空間，呢個方法就係令到手機製造商睇中惡意軟件嘅表面功能，自動將 app…

勒索軟件肆虐，美國唔少行政機關都飽受困擾，中招者糾纏於是否交付贖金嘅決定之中，正宗俾又死唔俾又死。而勒索軟件對於黑客嚟講，絕對係一件成本低、回報大嘅攻擊，加上暗網有大量勒索軟件發售，只要略懂電腦技術就可以買嚟用，然後坐喺度等收錢。 以往勒索軟件主要發生於電腦作業系統之上，好似 Windows、Linux 系統等等，不過網絡安全公司 Check Point 研究員就發現，Canon 相機嘅 PTP （Picture Transfer Protocol）數碼圖片傳輸協定存在 6 個漏洞，其中 5 個係關於 Buffer Overflow，最後一個就係暗中升級韌體。通過呢幾個漏洞，黑客可以透過 USB 或…

網絡安全專家又有新發現，一種被命名為「Warshipping」嘅攻擊手法，已經由 IBM X-Force Red 嘅研究員成功驗證，透過發放呢隻 Warship，黑客可以光明正大咁將爆格工具運入目標公司內，再慢慢截取有用訊號嚟破解，唔使再假扮清潔工人或維修電工嚟偷入公司。 Warshipping用完即棄 IBM 研究員發明嘅 Warship 工具，其實係一個造價大約 100 美元嘅用完即棄手作仔。呢個工具大約得一部手機咁大，可以掃描附近嘅 Wi-Fi 裝置，然後就靜靜等待任何同公司 Wi-Fi 網絡熱點進行「握手」（handshake）嘅訊號，當截取到呢啲數據，Warship 裝置就會經由內置嘅 3G modem…

Facebook 日前宣佈，已經向兩個應用程式開發者提出控告，指控佢哋用惡意軟件感染用家手機，然後假冒用家點擊廣告，同時瞞住用家以詐騙方式產生廣告點擊、騙取收入。而喺兩個開發者當中，有一個係來自香港。 兩個被 Facebook 控告嘅應用程式開發者分別係香港嘅 LionMobi 及新加坡嘅 JediMobi，Facebook 喺發布嘅新聞稿指兩個開發者喺 Google Play 提供含有惡意軟件嘅應用程式，以便於 Facebook 廣告上產生虛假點擊（click injection fraud），賺取收入。LionMobi 更於 Facebook 上刊登服務廣告，嚴重違反 Facebook…

以為响手機裝防毒軟件就冇問題？點知原來個防毒本身就有問題…… 網絡安全公司 Comparitech 最近為 21 款 Android 免費防毒軟件進行分析，結果真係嚇死人，發現當中竟然有 3 款存有嚴重安全漏洞、7 款根本無能力偵測樣本病毒；整體上，47％ 產品未能成功達標，真係唔裝好過裝喇。 Comparitech 從安全性、私隱度及廣告推送三方面進行測試，發現大多數 App 都貨不對辦：首先有三分之一嘅 app 根本無能力準確偵測病毒，而且幾乎所有 app 都响度監察緊你嘅行為。咁都未算，研究員仲發現有…

物聯網（Internet of Things, IoT）的應用已談論多年，近年 IoT 產品的功能愈來愈完善，特別是在商業應用方面，例如酒店等服務行業，不單可提升客戶體驗，更有助企業收集大數據進行分析，改善營運效率。市場調查公司估計，2020 年全球將有 500 億部 IoT 產品接通互聯網，而在 Wi-Fi 6、5G 等高速網絡傳輸制式的助攻下，都為大規模裝設 IoT 產品提供了理想的環境。不過，企業要成功引入 IoT 應用，還欠缺了一塊重要的拼圖。 Wi-Fi 6…