Search Results: 密碼管理器 (21)

    網絡安全公司 Check Point 發表研究報告,詳細分析一項被稱為 SmugX 的網絡釣魚攻擊,由於從捕獲的病毒樣本中發現,這次攻擊主要針對英國、法國、瑞典、烏克蘭、捷克、匈牙利和斯洛伐克的大使館和外交部門,加上使用的病毒與中國 APT 黑客集團相似,因此研究人員將它歸類為有明確政治目標的間諜活動。 想知最新科技新聞?立即免費訂閱 ! 從研究人員公開的報告可見,SmugX 間諜攻擊自 2022 年 12 月開始,並持續執行多月,顯示攻擊者有長期目標。 黑客目標清晰 手法複雜 這次攻擊有以下兩個特點,首先是黑客的攻擊目標清晰,主要針對歐洲多國外交官員和部門,並非漁翁撒網。研究員捕獲的釣魚樣本中,有給塞爾維亞駐布達佩斯大使館的信件、闡述瑞典擔任歐盟理事會主席國的優先事項文件,以及兩個中國人權律師的文章,顯然是希望引起目標國家的外交官興趣,繼而打開電郵內的附件,完成整個入侵程序。 其次是 SmugX…

    雖然近期 Google、Microsoft和Apple都各自在其平台推出了無密碼的驗證密鑰(passkey)功能,但大多數人仍然選擇使用自己的密碼。Google 最近開始透過FIDO 聯盟(Fast Identity Online Alliance)測試 Chrome 和 Android 中的驗證密鑰支援功能,而 FIDO 的密鑰是以智能手機傳感器進行生物識別身份驗證,以完成無密碼登入。Apple 於 6 月宣布 iOS 和 macOS 支援使用…

    數據洩露經常發生,幾乎每天都聽到相關事故。無論是甚麼行業、部門、地方,受害組織的規模從小型企業,至國際大企業都不能倖免。IBM 估計,2021 年美國公司的數據洩露平均成本為 424 萬美元,當涉及遙距工作,損失平均更增加了 107 萬美元。這篇文章將講解如何檢查自己的資料有否遭外洩及數據外洩的風險等問題。 企業遭遇數據外洩事故,其成本可包括以數百萬美元修復受損系統、執行網絡取證、改善防禦和支付法律費用,還涉及受數據洩露影響的個人客戶流失所致的損失。對於個人而言,損失可能就會變得個人化,損失或可能是工資、儲蓄和投資資金。 數據洩露是如何發生的? 根據 IBM,網絡攻擊者闖入公司網絡的最常見的初始攻擊手段,多數是利用外洩的憑證,這種方法佔了 20%。這些憑據可能包括線上洩露的帳戶用戶名和密碼,可能在單獨的事故中被盜;或是從暴力攻擊獲得,例如以自動劇本嘗試不同的組合,來破解易於猜測的密碼。 其他潛在的攻擊方法包括: Magecart 攻擊:British Airways 和 Ticketmaster 等公司都曾遇過這些攻擊,即惡意代碼被悄悄加入電子支付頁面,以偷取信用卡資料。 在網站…

    Cyber Security News 報道指,在擁有超過 25,000 名員工的企業環境中,數據洩露的平均成本約為 552 萬美元。目前已有不少知名公司成為網絡攻擊的受害者,他們因沒有採取適當的安全措施,而最終導致數百萬美元用於數據洩露相關的解決費用損失。網絡犯罪分子不單只攻擊大型企業,亦會滲透到各種規模的公司,並尋找可利用的安全漏洞。以下是可能導致企業損失數百萬美元的 3 個常見安全錯誤,以及我們該如何解決這些錯誤。 1. 不安全的第三方存取 IT 部門面臨的最大挑戰之一是要確保第三方無法存取公司網絡。存取應從開放策略轉變為更受限制,即是零信任網絡存取(Zero Trust Network Access, ZTNA)。ZTNA 有效地取代傳統 VPN…

    千祈唔好以為黑客只針對大型企業,無論是甚麼規模的企業,一樣要做好網絡安全的措施,即使是小型企業,一樣有方法避免中伏。 網絡攻擊對於小型企業來說,可能並非首要考慮的事情,網絡犯罪分子貌似多數只針對具規模、有利可圖的目標;然而事實是小型企業同樣會成為黑客和網絡犯罪分子的目標,因為小型企業同樣手握各種機密數據,例如個人資料、信用卡資料、密碼等,黑客一樣會虎視眈眈。但相對中型企業或大型企業,小型企業的資訊安全意識及保護措施相對較弱,尤其是在沒有專業網絡安全員工的情況下,致使危險度也增加。 小型企業成為供應鏈攻擊的一部分,主要是黑客能透過他們獲得大公司的存取權:從入侵可能是大型機構供應商的小型企業,攻擊者可以利用存取權滲透網絡,攻擊其商業夥伴。 小型企業遭遇無論是網絡釣魚、勒索軟件、惡意軟件,還是攻擊者擁有存取權和篡改數據權限的任何其他類型的惡意活動,其所導致的結果都可以是極具毀滅性,甚至有網絡攻擊受害者因此而永久關閉。 以下是 ZDNet 提供的自保招式,提醒小型企業如何避免墮入一些基本網絡安全陷阱。 1.不要使用弱密碼來保護線上帳戶 網絡犯罪分子並不一定具備超強技能,才能入侵企業電子郵件帳戶和其他應用程式,因為很多時他們能夠進入企業系統,純粹是因為帳戶擁有者使用弱密碼或容易猜測的密碼;同時使用雲端辦公應用程式和遙距工作模式的轉變,也為網絡犯罪分子提供了更多攻擊機會。 記住許多不同的密碼可能很困難,因此不少人在多個帳戶中使用簡單的密碼,導致帳戶和企業易受網絡攻擊,特別是如果網絡犯罪分子使用暴力攻擊以常用或簡單密碼列表作嘗試。另外,也不應該將密碼設定為易於發現的訊息,例如最喜歡的球隊或寵物名字,因為社交媒體上的資料,或成為密碼線索。 國家網絡安全中心 (NCSC) 建議使用由三個隨機單詞組成的密碼,並指這個策略能令密碼難以猜測。另外,應該使用不同的密碼來保護每個帳戶,使用密碼管理器可以幫助用戶消除記住每個密碼的煩惱。 2.不要忽略使用多因素身份驗證(MFA) 即使已採用強密碼,密碼仍有可能落入壞人手中。網絡犯罪分子可以使用網絡釣魚攻擊等方式,來竊取用戶的登入資料。多因素身份驗證會要求用戶響應警報,來確認是他們本人嘗試登入帳戶,讓入侵帳戶增添障礙:即使網絡犯罪分子擁有正確的密碼,他們也無法在沒有帳戶擁有者批准之下,使用該帳戶。如果用戶收到意外警報,提示有人正嘗試登入其帳戶,他們應向其 IT 或安全團隊報告,並立即重置密碼,避免網絡犯罪分子繼續嘗試利用被盜密碼。 儘管使用多因素身份驗證或雙因素身份驗證 (2FA),已是最常建議採用的網絡安全措施之一,但許多企業仍沒使用,令人憂心。 3.…

    不少企業也有為員工舉辦網絡安全培訓課程,以為做完就安全?可惜事與願違,有調查發現34%員工受訓後依然用紙寫低密碼,60% 員工依然接駁公共 Wi-Fi 工作。其實舉辦培訓都要成本,究竟如何才能有效地運用資源?一齊學習四個要點。 根據 TalentLMS 和 Kenna Security 一項員工網絡安全風險意識調查發現,大部分安全培訓都未能達到預期效果。調查訪問了 1,200 個美國員工,當中 69% 已接受安全培訓,除了上述學完等於無學的例子外,受訪者當中有 61% 未能通過主辦機構提供的基本安全測試。 由此可見,設計網絡安全培訓課程絕不簡單,罐頭式培訓內容未必。網絡安全專家認為安全培訓課程要有成效,不可忽略以下四點。 定期審核:做完培訓班都要有跟進,企業管理者必須安排人手定期進行內部審計,評估員工有否執行課程內容,例如檢查員工電腦有否未經批准使用的軟件、帳戶密碼是否繼續採用易於破解的組合,同時亦可留意員工工作枱上有否隨意擺放敏感度高的文件。如效果未有改善,就有可能要改課程內容或教學方法。 實用淺白:影響網絡安全培訓效率的經典原因是內容大路及充斥大量專業術語。首先如員工未能了解釣魚電郵、社交工程攻擊的意思,根本無法了解自己有可能中招的原因。另外如內容過於大路或理論化,員工亦無法將課程內容應用到實際工作上,因此導師應針對行業實況及公司文化,設計出實用淺白的教程,同時以實例進行分析,確保員工清楚掌握入侵原理。 持續培訓:培訓應定期進行,一次性課程不可能讓員工記住所有內容,最好每次課程有不同主題,加深員工印象。…

    Web3 是下一代互聯網而創造的術語,現時網絡已從以內容頁面為主的面貌,轉變為以社交媒體為主軸的世界。現時,去中心化的互聯網模式,正以 Web3 的概念作討論。有研究人員就新興技術面臨的最普遍威脅預計,社交工程攻擊(Social Engineering Attack)或主導 Web3 及 元宇宙(metaverse)的世界。 轉變成 Web3 的其中一個因素是元宇宙的盛行——一個 3D 環境和虛擬世界,能在個人或工作上,促進社交聯繫。用戶在元宇宙中的 ID,也可能會與加密貨幣錢包、NFT 和其他各種智能合約互連。隨著技術供應商致力於實行以上概念,Cisco Talos 的網絡安全研究人員提出了他們對 Web3 和元宇宙將面臨的潛在威脅的看法。…

    企業管理者為了維護公司免被入侵,均會引入不同的安全政策,要求員工能遵守安全指引工作。不過對員工來說,部分安全措施會影響他們的工作效率,因此有可能陽奉陰違。有調查顯示,36% 員工承認會尋求其他方法繞過安全措施,例如將檔案上傳至免費雲端服務以便分享…… 流動設備網絡安全公司 Mobile Mentor 早前進行了一項問卷調查,以了解在新冠病毒疫情下,員工對公司安全措施的實行狀況。因為以往員工在公司內部網絡工作,屬於一個安全程度較高的工作環境,被入侵或引發資料外漏事故的風險較低。不過現時不少員工均要在家工作,為了提升網絡安全度,企業管理者不單要採購更多遙距工作工具,同時亦要制定更嚴謹的安全措施,才能平衡遙距工作所產生的安全弱點。通過這份調查報告,Mobile Mentor 便總結出多個安全問題: ·       超過 41% 員工表示安全措施限制了他們的工作,有 36% 更承認會想辦法繞過安全措施工作,例如使用未經批准的工具,其中有 53% 員工認為以 Dropbox 及 Gmail 工作更有效率,顯示未經批准的…

    密碼管理服務供應商 LastPass 最近向大批用家發現電郵警告,指他們的帳戶出現不尋常的登入記錄,更聲稱已為用家阻截登入,呼籲用家盡快修改密碼及啟用雙重因素驗證 (two-factors authentication) 功能。不過,LastPass 堅稱並未發生數據外洩事件,但就有受影響用家聲稱登入密碼未有共用於其他帳戶,真相到底是? 為了保障各種帳戶的安全,不少人都會為每個帳戶設定獨一無二的強密碼 (strong password),即在字元長度、字符組合複雜程度上均達到一定標準的密碼。不過,並非所有人都有超人記憶力,因此要管理所有帳戶的密碼,便必須借助密碼管理器 (password manager) 記錄,而用家日後要取得這些帳戶登入資料,便只須記著一個密碼管理器的登入密碼,上述的強密碼應用才變得可行。 LastPass 便是其中一款最多人使用的密碼管理器,但就在近日內,有 LastPass 用家收到官方發現的電郵警告,稱其帳戶出現可疑登入,雖然對方使用了正確的帳戶登入資料,但由於登入的位置與用家平常有很大出入,系統站於安全立場,已先為用家進行攔截,並建議如登入並非由用家自己執行,便應立即更換密碼及提升安全檢查功能。LastPass 方面堅稱內部未有發生任何數據外洩,相信黑客是從其他數據外洩事件中取得用家的帳戶登入資料。 不過,有 LastPass…

    調查發現,密碼成為妨礙企業員工工作的其中一大障礙。有六成受訪者表示因密碼問題導致他們無法順利工作,而且為了解決帳戶驗證問題,平均必須花費五小時,有 15% 更超過 9 小時以上,如果使用密碼管理器,就可大大減少問題發生。 相關研究由驗證服務供應商 Axiad 進行,調查報告一共訪問了 2,000 位美國員工,以了解他們在登入公司帳戶及使用各種應用服務時,由帳戶密碼引發的問題。結果顯示,有 60% 受訪者因密碼問題而無法工作,59% 受訪者更要求助 IT 部門,才能繼續使用公司的電腦設備,另外又有 48% 表示因忘記密碼導致無法使用軟件或協助工具,嚴重影響生產力。雖然受訪員工對遭遇表示不滿或憤怒,但約 48% 承認問題與自己有關,因為他們間中會忘記所選用的密碼,或因抄寫下的密碼不翼而飛,才被迫需要重設帳戶密碼,浪費大量工作時間。 事實上,密碼是保護帳戶或電腦設備的最基本方法,而且密碼的複雜程度必須夠高,才能延遲被暴力破解的機會,例如有安全專家便建議在設立密碼時,必須超過…