研究員剛於 DEF Con 發表報告，指出大量 4G 路由器存在漏洞，黑客可輕鬆遠程突破。其實 5G 都嚟緊，做乜仲集中火力去調查 4G 路由器呢？原因好簡單，研究員話根據過往經驗，好多製造商喺開發新產品時，核心程式碼其實都會同舊產品差唔多，所以如果唔正視問題，呢啲漏洞將會喺 5G 產品上繼續出現，所以唔好以為產品過時就唔使理。 Pen Test Partners 於 DEF Con 發表報告中，指出唔少知名牌子嘅路由器均存有多重漏洞，包括命令注入及遠程代碼執行漏洞，黑客只須編寫含惡意代碼嘅網站，之後就可以靜候有漏洞嘅路由器登入中招。研究員更指出，部分漏洞更容許黑客盜取登入密碼及其他資料，之後就可以盡情截取數據或將連接路由器嘅用戶導向其他虛假網站，非常大鑊。Pen Test…

Robotic Process Automation（RPA）將會係大勢所趨，坊間好多文章嘗試以學術性手法去探討，但唔係人人都睇得明，或者未想像到 RPA 點落地。今日用個 layman 小小嘅方式解釋一下，希望大家了解流程機械人係幾咁重要，可以慳到幾多時間同減少幾多失誤。 今日講嘅 RPA ，唔好覺得佢係 Buzzword 或 Rocket Science，其實佢無機械臂，亦只係一個存在於 desktop 入面嘅 UI (User Interface)，主要係處理 UI…

Google Project Zero 近排喺 Apple iOS 推出版本更新後，多次公佈由佢哋舉報嘅漏洞，而且有 14 個之多，當中更有兩個嚴重漏洞存在超過兩年，iOS 裝備用家只要睇過某啲網站就中招，可以睇埋 WhatsApp、Telegram 等用 end to end Encryption 技術加密嘅訊息。如果有裝置仲行緊 12.1.4 版本或以下，就要快啲更新喇。 Project…

喺上個月，獨立研究員 Laxman Muthiyah 發現 Instagram 嘅 2FA（Two Factor Authentication） 驗證漏洞，只需 10 分鐘時間就可以將一個 Instagram 帳戶搶到手，舉報後 Facebook 俾咗 3 萬美元獎金答謝佢嘅貢獻。事隔一個月，Laxman 又再發現 Instagram…

如果大家好記性，都記得舊年香港爆過單遺失選民登記冊嘅新聞，最精采 係上個月選委會開記招提返呢件事，竟然話調查完都判斷唔到點解會遺失……any肥，我只係想講，香港地方咁細，唔見咗選民登記冊都牽連甚廣，換轉係美國，當然就更大件事，而且分分鐘影響埋選舉結果！ 路透社最近就出咗篇獨家文章，話原來美國政府內部已經做緊嘢，一個月前推出咗新計劃，希望可以喺 2020 年總統大選前，提升選舉系統嘅防禦能力。上屆選舉時，已經有俄羅斯黑客入侵選民驗證系統，從中偷走資料，但大家擔心嘅係上次只係試驗，今次大選行動會升級，黑客唔滿足於拎資料咁簡單，而係透過操控及竄改資料嚟決定選舉結果，咁就更加大件事！ 華府網絡安全和基礎設施安全局（CISA）局長 Christopher Krebs 接受訪問時就話，近幾個月各州縣政府部門先後被勒索軟件攻陷，部分檔案被鎖住唔能夠打開，要用虛擬貨幣交贖金先開得返，而好有可能下年大選都有機會中招，俾黑客用同樣招數鎖住選民資料。 目前 CISA 已經同所有州政府聯繫，一方面提供教材，等佢哋知點樣應對呢類攻擊，另一方面就落手落腳幫佢哋做齊晒各方面嘅測試，睇下有冇乜嘢漏洞，及早作出修補。雖然目前仲未有指引，如果州政府中招後應唔應該俾贖金，但 CISA 就強調做好預防及備份措施，就係希望唔會出現要俾贖金嘅呢一日。 當然啦，唔想俾黑客勒索，最有效方法就係定時備份，有州政府選舉工作人員就話，自從 2016 年開始，已明顯加強咗網絡保安，而且不時都會備份選民資料以防萬一，但係到底要幾耐備份一次先妥當？暫時都未有清晰指引喇！ 資料來源：https://reut.rs/2ZwpYxK

Clickjacking 攻擊技術，以往大多用喺呃廣告點擊方面，黑客會喺受害者嘅電腦或手機上安裝惡意軟件，暗中點擊網站上嘅廣告嚟賺取廣告費。不過，而家呃人已經唔似以前咁容易，因為互聯網廣告供應商都開發咗一啲偵測系統嚟捉鬼，只要點擊廣告嘅行為有可疑，例如重複點擊同一個廣告，又或瀏覽網頁時唔轉頁淨係 click 廣告等等，都會被視為無效點擊，令到黑客無咁易呃到廣告費及點擊率。 不過，正所謂「路不轉人轉」，呢個方法唔可行，黑客咪研究新方法囉，最新技術就係騎劫網民嘅點擊，即係明明你點呢個位，實際上就點咗其他地方，又或者係你開啟嘅連結同字面表述不符等。 Microsoft Research 最近就聯同香港中文大學、首爾國立大學等學術機構發表研究報告，透過開發出一款名為「Observer」嘅工具，去檢查 Alexa 頭 25 萬最多人瀏覽嘅網站，睇下當中有幾多個被黑客植入惡意騎劫程式碼。最後發現，當中有 613 個網站中招，每日總瀏覽量高達 4300 萬。研究人員又指出，喺被發現中招嘅網站中，有接近 36% 嘅點擊騎劫係用嚟賺取廣告費，其餘騎劫就用喺將網民轉去一啲詐騙網站。而為咗避免令網民起疑，黑客仲識得限制騎劫頻率添。 問題就搵咗出嚟，但點樣防範呢？答案係都要靠網站或瀏覽器製造商時刻偵測網站有無俾黑客植入惡意程式碼，同時間，亦可以喺網民真正點擊連結前，提供多啲連結資料俾網民，等佢哋更容易知道條 link…

電競熱潮直捲全球，唔少後生仔都夢想成為電競選手，可以靠打機搵食。不過，真正嘅電競手一啲都唔易做，日日都要打十個鐘頭機，仲要操體能，所以連香港跳高隊代表楊文蔚都話：「電競同田徑一樣咁難行，跨得過你就係運動員。」 啱㗎，所以大部分人打機其實志在 kill time，邊會覺得可以靠佢搵食。之不過，有啲無 game 品嘅人明明唔夠人打，但又唔肯認輸，於是就想靠邪道威威，上網搜尋有無秘技或程式可以修改遊戲，情況就等於運動員食禁藥一樣。 最識得利用人性弱點嘅黑客又點會放過機會？早前網絡安全公司 Cyren 專家就發現，網上有一個連線射擊遊戲《Fortinite》嘅遊戲修改程式 Syrk，聲稱只要下載及執行 SydneyFortniteHacks.exe，就可以提升玩家嘅開槍準繩度，但實際上 Syrk 係一隻勒索軟件。當用家執行檔案後，就會發現電腦內的圖像、影片、文件同埋音樂檔案全部被上鎖，同時畫面會顯示一段「你已經被綁架」嘅訊息及聯絡電郵地址，要中招者用電郵聯絡，商討俾幾多同點樣俾贖金。為咗加強真實感，黑客仲喺畫面上加咗個計時器，指兩個鐘內唔採取行動，所有檔案就會被刪除。 專家指出 Syrk 其實係以一隻開源勒索軟件 Hidden-Cry 為基礎修改而成，佢嘅源碼喺上年放咗喺 GitHub 俾人下載使用，所以話呢個世界真係乜都會有人分享，只要有心機喺網上面搵就得。幸運地，專家發現用嚟解鎖嘅工具同時放埋喺受害者嘅電腦入面，只要打開一個叫做…

Facebook 近年飽受私隱問題困擾，CEO Mark Zuckerberg 上年承諾協助用戶「Clear History」，今日終於找數，推出 Off-Facebook Activity 功能，讓用戶掌控自己嘅私隱，清除 Facebook 存於第三方網頁及 Apps 嘅資料，截停追蹤。 自從「劍橋分析（Cambridge Analytica）」事件，Facebook 積極改革，大動作包括拒絕有問題嘅應用程式、打擊有問題專頁。日前更推出全新功能 Off-Facebook Activity，旨在讓用戶私隱自決，官網宣稱 Off-Facebook Activity…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

DEFCON 網絡安全大會，每年都吸引到好多業內高手或黑客出席；所以如果你所屬組織長期需要呢一方面嘅專家，呢類型嘅黑客大會就係最佳揀蟀機會。好似喺今次大會，就連美國國防部人員都到場，目的就係說服有識之士為國家效力！ 五角大樓長期缺人 今次 DEFCON 其中一個亮點，就係將成間醫院嘅設備搬咗入 BioHacking Village 俾大家試 hack。但同一時間，喺今屆首設嘅 Aviation Village 入面，亦放咗部 F-35 戰機駕駛模擬器喺度俾入場人士了解下。喺啲咁嘅場合，美國國防部有人喺度絕對合理，但呢個剛啱喺今年 4 月上任嘅 Defense Digital Service（DDS）https://dds.mil/…