Search Results: Zoom (33)

    應用程式在發布時不免有漏洞,因此不少大企業都設有獎金制度,鼓勵一眾「漏洞獵人」回報發現。最近 Zoom 公布,在 2021 年共向一眾研究人員發放漏洞賞金共 180 萬美元;該計劃自啟動以來已獎勵 240 萬美元。 這個漏洞賞金計劃歡迎所有人提交漏洞報告,並為企業組織改善其安全狀況的重要方法,因為該行業人才短缺,難以發現所有出錯。據估計,到 2025 年時,僅在美國已有大約 350 萬個相關職位空缺,在沒有更多專家產生前,企業通常不能單靠內部安全團隊,因為他們的工作量已經很多。所以漏洞賞金就發揮其作用:鼓勵外部研究人員和漏洞獵人對軟件和服務進行測試,並報告所發現的任何嚴重安全問題,再以獎金作為回報。 由於疫情和禁足措施在各國實施,在家工作成為大勢,而Zoom 提供的視像會議軟件服務的用量爆炸式增長。在這情況下,用戶快速增長就突顯了須迅速解決安全問題的重要性。Zoom 的主要項目屬私有性質,但該平台亦積極招募安全研究人員,超過 800 名研究人員參與了由 HackerOne…

    在新冠炎肺疫情反反復復的情況下,新經濟常常受到衝擊,各地股市市場指數大上大落,疫情受控或疫苗開發有望,舊經濟抬頭,而疫情不受控或疫苗開發,又阻礙新經濟開動。Zoom Video Communications Inc. 作為新冠炎肺疫情必須的「網上會議工具」,又有「在家工作受益股」的綽號,有人認為她是比騰訊更騰訊,比 Tesla 更 Tesla 的新經濟公司。Zoom 在 2019 å¹´ 4 月在美國 NASDAQ 股票市場上市,IPO 以每股 36 美元上市,疫情下最高價位每股達 588…

    世上無聊人何其多,就好似一些網上會議服務,除了黑客會企圖潛入竊取機密資料,還有一批人只為了搗亂,而 Zoombombing 就是專門破壞 Zoom 會議的行為統稱。為了阻止搞事者闖入,Zoom 新推出「At-Risk Meeting Notifier」功能,到底有冇效用? 在社交隔離措施下,不少人都會跟朋友舉辦網上聚會,可能以為聚會同外人無關,所以主持人很少會設定登入限制,而且為求有更多朋友參加,更會在社交平台貼出網上會議的連結。誰不知世界上有一批滋事者,一旦發現這些連結,就會召喚其他「同好」一起踩場,闖入聚會吵罵、發送色情相片,務求會議中斷。雖然認真參加網聚的人不會有什麼實際損失,甚至可另開一個私人聚會,但就浪費不少寶貴時間。美國司法部在今年四月,曾警告會控告這些滋事者,不過阻嚇力明顯不大。 網上會議服務供應商 Zoom 為了阻止這種騷亂,新增一項名為「At-Risk Meeting Notifier」功能,系統會不停掃描各個社交平台或網站,搜尋有否 Zoom 會議的連結,經人工智能分析,例如被多次轉發或貼有跟搗亂有關hash tag,認為有被 Zoombombing 風險,就會向聚會發起人發出電郵,通知對方取消會議,重新建立一個新的會議連結,並設定密碼保護、進入等候區、限制匿名進入等安全功能。Zoom 在網誌上提到,如會議發起人希望保持活動開放,便強烈建議用家將活動改為…

    因為疫情嘅關係,視像會議程式突然變到人人都要識用咁滯,南非外交部長馬沙巴內夫人亦唔例外,早排佢本來要就新冠病毒嘅影響,用Zoom主持一個部門嘅視像會議,不過事與願違,呢個會議最終俾黑客入侵,仲要播埋色情內容,場面令人尷尬。 最慘會議上除咗有部門員工同傳媒之外,為咗提升參與度,會議直情開放俾公眾加入,有意參加嘅人超過400個,相信黑客扮成參與者混入會議,喺眾目睽睽之下播放裸露圖片同色情畫面。 隨住視像會議程式嘅需求愈嚟愈大,相關嘅網絡安全問題亦都成為熱話,美國聯邦調查局(FBI)都點名話,Zoom程式有明顯嘅安全漏洞,已經成為黑客目標,更加指出兩宗黑客成功入侵嘅例子:馬薩諸塞州一間高中用Zoom上堂期間,就俾不明來歷嘅入侵者大聲講粗言穢語,同埋公然講出負責老師嘅住址;州內另一間學校就有入侵者喺鏡頭面前,向與會者展示納粹德軍標誌紋身。FBI提醒市民用Zoom或者同類軟件嘅時候,要確保軟件已經更新到最新版本,亦唔好隨便公布同透露進入網路會議室或網路教室嘅連結。 除此之外,加拿大多倫多大學有份參與嘅研究機構Citizen Lab,早前就揭發Zoom有時會用中國伺服器(servers)供應商發出嘅密鑰(keys),就算係北美客戶嘅 Zoom 會議,都可能用咗嚟自中國嘅密鑰。報告質疑Zoom喺中國有三間公司,有可能令 Zoom面對官方壓力嘅時候,有法律責任要披露加密資料。而Zoom亦喺4月3日承認,因為2月用戶流量急升,誤將幾千個用戶嘅會議流量,分流咗去中國兩個數據中心處理,Zoom無透露受影響用戶有幾多,雖然強調已經盡快修補漏洞,不過事件已經令大眾對Zoom嘅安全性存有戒心。 唔少用戶亦都開始尋求Zoom程式以外嘅選擇,包括:Google Hangouts Meet、Microsoft Teams、Cisco WebEx 、又或者係Skype嘅會議功能,經常有需要開視像會議嘅朋友,不妨了解多啲。 資料來源:https://bit.ly/34KXc0R、https://bit.ly/2ymH9Kz、https://bit.ly/3eutbH7 相關文章:【緊急自救】修改群組政策設定 煞停Zoom 派送Windows登入密碼

    喺在家工作嘅安排下,好多人都用緊視像會議應用服務 Zoom 嚟開會,甚至攞嚟開 group party 聯誼。不過,最新公布嘅一個漏洞,用家只要點擊 group chat 內一條 UNC link,就會將自己嘅 Windows 登入名稱及密碼送到黑客手上!唔想咁樣,請立即修改 Windows 設定自救! 好心做壞事 今次呢個漏洞係由網絡安全研究員 @_godmode 所發現,UNC(Universal Naming…

    在最近幾星期,COVID-19(新型冠狀病毒)危機令數百萬人留在家中,避免外出上班或進行面對面會議。儘管各具體預測的數據不一,但可以肯定的是,全球有多達 50% 的員工正在遙距工作。網上通訊平台已成為個人和企業與世界交流互動必不可少的工具。而憑著近 20% 的全球市場份額,其中Zoom 是最受歡迎的平台之一。 任何流行技術的好處顯而易見,卻也存在著風險。我們都聽說過應用程式使用不當的案例,據年初的 Check Point Research 報告稱,外部人員能夠竊聽私人會議和通話,這可能導致個人數據洩漏或商業間諜行為。 那麼,我們如何在享受 Zoom 帶來的好處的同時免遭主要威脅的影響?以下幾點值得考慮。 1.保持更新 為保持有效的安全性,必須經常更新 Zoom 軟件。科技公司為其產品提供的更新不僅增加了新的選項和功能,還會公佈已發現的「缺陷」和安全漏洞,比如上文提到的具有發現和竊聽會議的能力。重要的是,這與普遍的觀點相反,攻擊者能夠入侵的機會不會在安全漏洞修復後消失,而是在用戶進行軟件更新並收到公司的產品補丁之後才消失。這意味著未更新軟件的用戶仍然容易受到攻擊。 2.使用會議登入密碼 我們對…

    第一日返呢份工,枱頭就有部 30 吋 Apple Cinema Display 同埋 iMac,當時真心好興奮,終於有機會加入蘋果陣營。不過同事靜靜雞提醒,最好都係遮遮個鏡頭,起初都以為佢哋諗多咗,但直到呢單新聞出現,都係轉頭封咗個鏡頭佢啦! 講緊嘅係 MacOS 版本嘅 Zoom,呢個全球有 400 萬用家嘅視像會議軟件,俾網絡保安研究員Jonathan Leitschuh 發現有大漏洞,就係軟件會喺電腦入面安裝一個網頁伺服器(web server),只要 Zoom 用家唔小心打開咗一條邀請參與會議嘅惡意連結,之後黑客就可以喺用家唔知情嘅情況下,自動開啟視像會議,換句話講,即係打開 Mac…

    網絡攻擊者不斷尋找及利用新漏洞發動攻擊,規避檢測的手法更層出不窮,令目標避無可避。為協助企業解除各種威脅,網絡安全公司 Palo Alto Networks 推出最新版 PAN-OS 軟件 PAN-OS® 11.0 Nova,不但能阻止多 26% 零日惡意軟件,偵測多 60% 植入攻擊,更增加逾 50 項創新功能,大幅提升網絡安全保障。想領先攻擊者一步,記得參加 3 月舉行的網上或實體活動,未雨綢繆應對零日威脅。 是次活動將於 3 月…

    網絡釣魚經常利用虛假的社交媒體資料,以及對目標人物作深入調查,從而製作出精細的攻擊活動,誘騙受害者點擊惡意連結,並將用戶名和密碼「雙手奉上」。究竟有甚麼方法可以避免墮入黑客的陷阱?正所謂知己知彼,首先我們要了解黑客背後的運作模式。 英國國家網絡安全中心(NCSC)早前發出警報指,網絡釣魚攻擊針對來自多個行業的個人和組織。網絡釣魚攻擊的最終目標,是誘使受害者點擊惡意連結,這些連結會導向看起來逼真的虛假登入頁面,受害者一旦輸入他們的登入憑據,等同向攻擊者直接提供自己帳戶的訪問權限。黑客透過利用這些帳戶,再接觸其他受害者。 許多惡意連結的頁面會設計成常用的雲端軟件和協作工具,如 OneDrive、Google Drive 和其他文件共享平台。其中一個案例是攻擊者與受害者進行 Zoom 通話,然後在通話期間於即時訊息發送了一個惡意 URL。他們甚至會在網絡釣魚過程中,創造出多個角色並操作,增加可信性。 魚叉式網絡釣魚攻擊的第一階段是做研究和準備。攻擊者透過社交媒體和網絡平台等的公開資料,盡可能了解目標人物背景,包括他們的職業和聯絡人,例如家人、朋友和同事。攻擊者通常會根據真實人物,設置虛假社交媒體和文件以令人信服,使之看起來像是與真實事件相關,實際上這些事件並不存在。 據 NCSC 指,這些活動是俄羅斯和伊朗的網絡攻擊者所為,兩地的攻擊活動雖不相關,但策略相同。無論攻擊者冒充何人,或使用甚麼誘餌,這些魚叉式網絡釣魚活動都有一個共同特徵,就是以個人電子郵件地址為目標。這種策略能用以繞過對公司賬戶和網絡安全控制,而公司或企業電郵也成為攻擊目標。 這些網絡釣魚活動背後另一關鍵要素,是攻擊者相當有耐性,他們會花時間與目標建立關係。通常他們不會立即潛入,或直接要求目標人物點擊惡意連結或打開惡意附件,反而會與目標慢慢建立信任。過程通常從一封看起來平平無奇的電郵開始,通常是經調查後發現目標很可能感興趣的內容,藉以吸引他們,然後他們之間來回發送電子郵件,有時持續很長時間,直到建立起受害者所需的信任,令他們中招。 惡意連結將偽裝成受害者感興趣的文檔或網站,如會議邀請或議程,將受害者導向至攻擊者控制的伺服器。當受害者在惡意連結中輸入用戶名和密碼時,這些資料將發送給攻擊者,他們便可利用受害者的電子郵件和其他帳戶作更多行動。據 NCSC 稱,這些行動包括從帳戶中竊取訊息和文件,以及監控受害者未來發送和接收的電子郵件和附件。 攻擊者還會利用受害者電子郵件帳戶的權限,獲取郵件列表數據和聯絡人列表,隨後用於後續活動:由其他人作進一步網絡釣魚攻擊。 NCSC 運營總監…

    電郵安全公司 Green Radar 劍達(香港)公布第二季電子郵件威脅指數,發現電郵威脅風險大幅上升,其中來自本地的網絡釣魚電郵威脅越來越多,模仿品牌貼近日常生活,令企業受到攻擊機會大增。 現時電郵安全方案為企業的必需品,大中華區領先的電信中立網路服務供應商第一線 DYXnet(互聯科技NEOLINK 成員)聯乘 Green Radar 推出最新的電郵安全方案,採用 Green Radar 的 grMail 技術,其「保安即服務」功能,全天候為企業杜絕經郵件為企業帶來的災難。 「本地化」網絡釣魚電郵為企業響起警號 Green Radar 銷售執行副總裁馬偉雄分析指,網絡釣魚電郵升幅十分明顯,這些電郵亦漸趨「本地化」,如假冒港鐵、PayMe 等要求填寫個人身份證號碼及信用卡資料等,因為品牌貼近日常生活,令企業更易受騙,受到攻擊機會大增。…