越來越多企業依賴第三方供應商提供產品和服務，但當第三方存在網安漏洞，可能會直接對企業構成威脅。要保障自身網絡安全，就要做好第三方風險管理（Third Party Risk Management，TPRM）及外部攻擊面管理 （External Attack Surface Management，EASM）。全球著名網絡安全評級機構 SecurityScorecard 與本地解決方案分銷商 Edvance Technology（下稱 edvance）建立合作夥伴關係，客觀中立地評估各機構網安風險水平，助香港企業全面掌握自己及第三方供應商網絡安全狀況。 SecurityScorecard 與 Edvance Technology 日前舉行簽約儀式，由 SecurityScorecard 亞太區營運副總裁郭家賢及…

2022 年快將完結，回顧今年發生的網絡安全事故，可見已與 2021 年與遙距工作模式為主的情況大不同，正式踏入後疫情時代。網絡安全專家就為 2023 年作出 5 大預測，方向包括物聯網、私人裝置工作、國家級黑客、人工智能及安全意識培訓，業內人士不可不知。 物聯網（IoT） 根據市場調查公司 Gartner 預測，2023 年將有 430 億 IoT 裝置連線網絡，專家認為由於大部分 IoT 裝置的用途都不是用於儲存數據，因此生產商普遍低估其產品的網絡安全風險，證據就是不少裝置在出廠時依然採用低強度及統一帳戶登入資料，例如 admin…

唔少網絡安全專家都警告，醫療器材將會成為黑客嘅主力攻擊目標。理解嘅，醫療系統儲存咗好多病人嘅個人私隱，特別係私家醫院就有好多公眾人物嘅病歷紀錄，掌握到呢啲可能未經公佈嘅消息，絕對可以多方向謀利，例如勒索對方、發佈消息去操控對方所持公司嘅股價等等。其實除咗可以非法攞到病人資料，仲可以操控性命。 美國食物及藥物管理局（FDA）喺上星期就發出警告，呼籲病人將由美國醫療科技公司 Medtronic 推出嘅胰島素自動注射器 MiniMed 嘅部分型號拎去回收，因為 FDA 發現呢啲產品存在網絡漏洞，可以俾有心人士隔空改變藥劑設定，影響病情。 由於糖尿病人無法分泌足夠嘅胰島素（Insulin），又或出現胰島素阻抗（Insulin Resistance），部分病人有需要口服或注射胰島素藥物，先可以轉化血液中嘅糖份；視乎病情，醫生會調校藥劑，維持體內嘅胰島素量，避免不足或過多。Medtronic 自動注射器嘅出現，就可以按照醫生嘅藥劑設定，自動為病人注入胰島素。不過，由於呢款產品備有無線連接功能，而 FDA 就發現咗有心人士可以喺接受範圍內，利用產品本身嘅漏洞進入系統，修改藥劑量設定，影響病情，所以就要求生產商回收產品。 其實除咗胰島素注射器，其他身體檢查醫療器材如果俾黑客攻擊，例如磁力共振、電腦掃描儀器等，就可以製造虛假檢查結果，有病變無病，無病變有病，令病人延遲接受醫療或製造恐慌，所以除非你一世人都唔使睇醫生，否則醫療漏洞絕對同所有人有關。 資料來源：https://bit.ly/2KOlrE7 相關文章：【醫療事故】醫院洩密 新加坡總理都中招

美國網絡安全暨基礎設施安全局（CISA）發布全新策略「CISA 2030：防禦、強化、致勝」，旨在透過強化防禦、保障國家安全及提升韌性，保護美國關鍵基礎設施免受日益嚴峻的網絡攻擊威脅。此策略發布之際，聯邦選舉委員會（FEC）系統遭駭並導致電子申報系統中斷，進一步凸顯加強網絡防衛的迫切性。 CISA隸屬美國國土安全部，負責保護對國家運作至關重要的設施，包括電力、通訊及金融系統等關鍵基礎設施。代理局長 Nick Andersen 表示，「CISA 2030」為國家提供清晰藍圖，以強化防禦能力、清除敵方據點，並消除任何可能危及國家安全、經濟或公共衛生的優勢。 想睇更多科技新聞，立即免費訂閱！ 新策略包含三大支柱。第一是「防禦：引導國家網絡防衛」，CISA 將與公私部門夥伴合作，加強營運技術安全、推進軟件安全，並支援超級智慧與量子運算等新興技術的安全採用。當局亦會透過數據驅動的指導與最佳實踐，提升軟件安全及供應鏈透明度。 第二是「強化：優先國家基礎設施安全」，聚焦確保關鍵系統更能抵禦攻擊。第三是「致勝：動員國家韌性」，強調面對網絡威脅時，全國需具備迅速恢復及持續運作的能力。 與此同時，美國聯邦選舉委員會的系統近期遭惡意行為者入侵，導致其電子申報系統中斷，影響中期選舉前關鍵的競選財務披露。據《Central Oregon Daily》報道，FEC 系統自上週一晚間（美東時間）起中斷。 一名 FEC 電子申報官員指出，有「惡意行為者」試圖入侵系統，令網絡服務需要暫時關閉。 由於事件發生在 11…

摩根大通行政總裁戴蒙（Jamie Dimon）警告，Anthropic 旗下人工智能模型 Mythos 大幅推高全球網絡安全風險，並帶來此前未被察覺的安全漏洞。他表示，面對相關威脅，重點是採取實際行動處理問題，而非陷入人工智能是否構成人類存亡威脅的爭論。 想睇更多科技新聞，立即免費訂閱！ AI 帶來未知漏洞　網絡安全憂慮加劇 戴蒙日前接受彭博電視訪問時表示，AI 帶來的風險「在 Mythos 出現後增加了 10 倍」。他指出，人工智能揭示了此前未知的安全漏洞，而早在這些技術出現之前，網絡安全已一直令人擔憂。 談及 AI 代理及 Mythos 等技術可能引發的問題，戴蒙形容，相關憂慮合理，而且確實存在。不過，他強調，自己不會因為 AI…

美國科技巨頭 Google 證實，旗下人工智能模型 Gemini 今年 5 月接受網絡安全能力測試期間，因測試環境出現問題而接入互聯網，並曾進入 3 間真實企業的受保護系統。這是 Google 首次確認其 AI 系統曾自主作出同類行為，事件再度引起外界對 AI Agent 網絡安全風險及測試管控的關注。 想睇更多科技新聞，立即免費訂閱！ Google 強調未有損害相關企業 事件發生於…

本地企業及教育機構接連傳出被入侵，涉及兩大勒索軟件組織！香港網絡安全事故協調中心（HKCERT）分析指出，近月多宗勒索軟件事件均涉及帳戶憑證被盜用或未有啟用多重身份驗證，顯示攻擊者正愈來愈傾向利用合法帳戶進行入侵，而非傳統惡意程式攻擊，提醒需提高網絡安全警覺。 想知最新科技新聞？立即免費訂閱！ 繼上周傳出勒索軟件組織 Orova 入侵本港企業後，另一勒索軟件組織「The Gentlemen」亦持續在全球針對不同行業及機構發動攻擊，近日再傳出本地大學香港浸會大學（HKBU）被列入其暗網洩漏網站名單，懷疑已遭受勒索軟件攻擊。雖然相關事件仍有待進一步調查及核實，但事件再次反映勒索軟件威脅、帳戶憑證外洩及身份認證安全風險持續存在，各機構應檢視自身網絡安全狀況及防禦措施。 身份攻擊風險持續上升 HKCERT 指出，近年不少勒索軟件攻擊均由釣魚電郵、遭盜取的帳戶憑證、資訊竊取惡意程式（Infostealer）或未修補漏洞開始。攻擊者取得初始存取權限後，會進一步進行網絡偵察、權限提升、橫向移動及資料竊取，最終發動勒索軟件攻擊或利用敏感資料進行勒索。 隨著雲端服務、遠端工作及數碼協作模式日益普及，身份憑證已成為網絡犯罪分子的主要攻擊目標之一。一旦帳戶資料被盜取，攻擊者有機會利用合法身份進入企業網絡，增加偵測及應對難度。因此，機構應定期檢查是否存在已外洩帳戶、淘汰弱密碼，並全面落實多重身份驗證（MFA）等保護措施。 協作平台安全同樣值得關注 除了近期活躍的勒索軟件活動外，Zoom 近日公布與 Annotation（螢幕註解）功能相關的安全漏洞修補資訊，再次提醒業界日常使用的工作平台，同樣需要納入網絡安全風險管理範圍。 HKCERT 表示，現今網絡攻擊已逐步演變為結合身份憑證盜取、第三方平台漏洞、社交工程及合法工具濫用等多種手法。無論是近期勒索軟件組織的活動，還是協作平台的安全更新，均反映企業及教育機構需要從整體攻擊面管理（Attack Surface Management）的角度檢視風險，持續維持良好的修補管理機制，以及定期檢討各類雲端服務、協作平台及遠端存取系統的安全設定。 防禦及保安建議 對公眾．切勿重複使用密碼，為重要帳戶採用獨立且高強度密碼。．啟用多重身份驗證（MFA），優先採用抗網絡釣魚的驗證方式，例如通行密鑰（Passkey）或保安密鑰。．留意可疑登入通知、密碼重設訊息或異常帳戶活動。．切勿隨意開啟來歷不明的電郵附件或點擊可疑超連結。．定期更新作業系統及應用程式，及時修補已知安全漏洞。…

中國國家互聯網信息辦公室（CAC）旗下網絡安全審查辦公室宣布，對美國網絡安全公司 Palo Alto Networks 在華銷售的產品正式啟動網絡安全審查。官方指出，此舉旨在保障關鍵信息基礎設施的安全穩定運行、防範網絡安全風險，並維護國家安全。 網信辦在簡短聲明中，指此乃依據《國家安全法》、《網絡安全法》及《網絡安全審查辦法》，對 Palo Alto Networks 實施網安審查。聲明未有列出具體涉事的產品型號、技術漏洞細節，亦未說明 Palo Alto Networks 可能面臨的具體懲處或行動。 今年曾要求內地企業停用 北京近年加強對外國科技供應商的國安審查，大力推動「國產替代」政策，禁止在敏感網絡中使用進口安全產品，以免數據及基礎設施暴露於海外風險。今年 1 月，中方曾要求國內企業，停用十多間來自美國及以色列的網絡安全公司，包括 Palo Alto…

美國聯邦通訊委員會（FCC）近日宣布，對新型人形機械人、四足機械人，以及並網電力逆變器採取進口限制措施。當局表示，有關規定旨在降低供應鏈與網絡安全風險，並保護美國人工智能（AI）產業及關鍵基礎設施安全。 FCC 指出，相關先進機械人具備資料收集、網絡連接及遠端控制等功能，一旦被惡意利用，可能對美國經濟及國家安全構成威脅。至於並網電力逆變器，則主要用於把太陽能、電池系統或數據中心設備接入電網，當局認為其連網特性同樣帶來安全風險。 想知最新科技新聞？立即免費訂閱！ 根據 FCC 說明，措施主要針對尚未獲准上市的新型號產品；相關新型號一般將無法再獲設備授權，因此難以進入美國市場。至於已獲批並已在美國使用的現有產品，則暫時不受影響。FCC 同時提到，經特定安全審批程序獲准的產品，或可按個別情況繼續申請授權。 美國官員表示，這項政策屬於特朗普政府強化供應鏈安全及推動再工業化的一部分，重點是為機械人、電力逆變器等關鍵和新興技術建立更安全、獨立的供應體系。當局強調，相關做法是基於國家安全考量，並非針對個別企業的短期市場行為。 北京方面則對措施表示反對。中國商務部表示，美方應立即撤銷有關措施，若美方一意孤行，中方將堅決予以反制；中方同時批評美方做法歧視中國企業及產品，並形容有關限制屬市場扭曲及單邊主義做法。 外界認為，這項限制措施將進一步反映美中在 AI、機械人及能源基建領域的競爭持續升溫。隨着美國持續收緊對關鍵技術的審查，相關政策方向預料仍會成為雙邊科技與貿易摩擦的焦點。

網絡安全解決方案供應商 Sophos 發布《2026 年 AI 安全報告》，揭示黑客正將人工智能（AI）實際應用於網絡攻擊中，原本需時數星期的攻擊流程現在可大幅縮短至數日完成。報告指出，對網絡犯罪而言，現階段 AI 能顯著加快攻擊速度，並增加了以身份作為主要初始存取途徑（IAV）的攻擊。但在創造全新的攻擊類型方面，AI 的應用仍有限。 想知最新科技新聞？立即免費訂閱！ 報告建基於 Sophos X-Ops 託管式偵測與回應（MDR）團隊處理的攻擊個案、SophosLabs 分析、Sophos Counter Threat Unit（CTU）威脅情報、Sophos AI 研究，以及從全球超過 62.5 萬名客戶的端點和網絡觀察所得的研究結果。 《Sophos 2026…