活動將協助闡明《關鍵基礎設施法案》的詳細內容，為各機構提供可行的解決方案和策略💡，以確保合規並加強其安全防禦🛡️。參與者將獲得清晰且實用的指導，為即將面臨的挑戰做好充分準備💪！

了解更多

三十而立，四十而不惑。黃迪奇（Dicky Wong），曾在網絡罪案調查科擔任高級督察，11 年後選擇拋棄「鐵飯碗」，轉到大型私人機構任職網絡安全主管，獨特的工作經驗令他視野更廣。人到四十，忠於自己的 Dicky 再次勇敢跳出舒適圈，決心創立顧問公司「銷售智慧」，Dicky 稱：「我喺香港土生土長，如果自己有呢個能力，點解唔去幫自己人？」

商科出身　非傳統IT人

在網絡安全界別打滾十多年，最有趣的是，Dicky 並非 IT 人出身。當年選科潮流以商科為主，他便順應父母「有出路」之說，在大學修讀經濟及管理。不過，Dicky 自小已對電腦有濃厚興趣，最愛看與網絡、黑客有關的電影，他笑著憶述：「我十一、二歲 時，已經識得經 Floppy 用病毒去感染同學嘅電腦。」

大學畢業後，Dicky 在金融資訊科技公司工作，除了銷售與分析外，亦有寫電腦程式，對科技領域越發感興趣。不過，為圓父親子承父業的心願，他在 5 年後便減薪投考警隊。於 CID 工作期間，Dicky 自言「警運」一般，不時遇上謀殺案、家庭悲慘案，最高峰更試過一日見八具屍體；及至兩年後便捉緊機會，轉到科技罪案組，成為人生一大轉捩點。

背景獨特　涉足公私營領域

到了科技罪案組，Dicky 邊做邊學，如學習數碼取證，與一般搜證大為不同。當時市民對網絡安全認識不深，裸聊相當盛行，Dicky 及部門同事合作分析所有香港與裸聊有關的個案，經國際刑警組織協調下，前往其他國家拘捕疑犯。除了調查案件，Dicky 曾在網絡安全組及資訊系統部工作，負責加強市民網絡安全意識、與業界緊密接觸，以及與其他不同的外國執法機關溝通、交流及合作，為他打開了網絡安全領域的新路徑。

在警隊 11 年間，Dicky 獲得獨特的工作經驗，離開警隊前，負責處理內部系統。Dicky 坦言想透過其專業技術繼續發展其事業，於是決心外闖，轉投新世界集團任職網絡安全及科技風險主管，期間更為啟德體育園擔任網絡安全首席顧問。

由政府轉到私人企業，「我嘅核心 Skill set 冇轉過，一直都係做網絡安全同科技風險，只係公司角色唔同咗」。他以來年實行的《保護關鍵基礎設施條例》為例，「對業界可能係好新，但喺政府入面，好早已經見到呢件事」，加上常與外國機構交流，獨特的工作背景，令其體驗、視野與角度都有所不同，「明白唔同機構要處理嘅方式唔同，用嘅科技都唔同」。

銷售智慧　助關鍵基礎設施營運商配合法例

身為欖球好手，Dicky 在英國留學時曾在過千人中脫穎而出，成為被選中的 23 人之一，是首位香港人代表英格蘭東部出賽，「冇人做，唔代表做唔到，嘗試去做，咪試下去做第一個」。

這種運動精神貫徹始終，加上孜孜不倦的 Dicky 正在中大修讀 EMBA，期間接觸到很多身為創業家與管理層的教授和同學，啟發他踏上創業之路。他遂於今年初決定再次跳出框框，創立香港第一間資訊科技及網絡安全諮詢機構——Syber Couture，利用豐富且獨特的工作經驗與知識，協助本地企業在中西合璧的環境下，順利地配合法例需求，特別是關鍵基礎設施營運商。他笑言此舉是「銷售智慧」：「我覺得我嘅 Skill set 可以喺市場上畀到好好嘅建議，去加強業界同公司嘅網絡安全能力。」

Syber Couture 最與別不同之處，是總部設於香港，由本地團隊主導，並具備本地法規與威脅分析能力，更切合香港企業需要。Dicky 希望能將香港人的拚搏精神發揚光大，為本土的科技生態圈貢獻，並堅信：「想畀人知道，香港都會有土生土長可以創造到嘅嘢，一開始未必最完美，但我哋一定會努力做到最好！」

近日有研究指出，ChatGPT 新增的日曆整合功能可能成為黑客攻擊的突破口，最壞情況可能導致敏感的電郵內容及其他私隱資料被盜取。如果用家在未充分了解 AI 應用的潛在風險下隨便使用，很可能因一時大意而墮入黑客的陷阱。

只需有電郵即可攻擊

ChatGPT 新推出的日曆整合功能，旨在透過深度整合用戶常用的日曆、電郵等第三方服務，幫助用戶更方便地規劃日程和管理日常任務。不過，AI 安全公司 EdisonWatch 創辦人 Eito Miyamura 近日進行了一項測試，揭露黑客如何透過發送惡意日曆邀請來執行攻擊的可能性，讓 ChatGPT 自動執行隱藏的惡意指令，最終竊取受害者的電郵內容。

研究指出，攻擊者只需掌握目標用戶的電郵地址，便可發動攻擊，即使受害者並未接受邀請，也可能觸發這些隱藏的指令。

整個攻擊過程始於黑客生成一個表面看似普通但實際上暗藏惡意指令的日曆邀請，這些指令被稱為「jailbreak prompt」，它可能包含一段指令，例如要求 AI 搜尋目標用家郵箱中所有含有「財務報告」的郵件，並將其內容發送至黑客預先設置的電郵地址。

一旦受害者向 ChatGPT 提出檢查日程或整理日曆的請求，ChatGPT 便會掃描其電郵信箱及日曆內容，並無意間觸發這些隱藏的指令，將敏感數據根據黑客預設的指示發送至指定地址。整個過程中，用家未必能夠察覺自己的私隱數據已經被盜取。

用家或出現決策疲勞

ChatGPT 與日曆、電郵等應用的整合是通過工具指令達成，而這些指令的開放性使其容易被黑客濫用。用家對 AI 助理的高度信任也成為了攻擊的助推因素，因為大多數用家未必會仔細檢查日曆邀請的來源或內容，甚至在不假思索的情況下批准 AI 執行某些請求。此外，ChatGPT 在執行日曆功能時，無法有效分辨內容是否惡意，令黑客能輕易繞過安全限制。再者，專家認為日常工作時面對頻繁彈出的授權提示，也可能導致用家出現「決策疲勞」，未有看清權限的內容，進一步增加攻擊成功率。

為了應對這類新型攻擊手段，專家建議採取多種防禦措施以降低風險。首先，應在功能尚未成熟時限制 AI 對敏感數據的訪問權限，例如電郵和日曆內容，以減少潛在的攻擊面。其次，應避免讓 ChatGPT 自動執行高風險操作，特別是涉及財務數據或其他私隱內容的任務。同時，用戶需提高對 AI 工具的警惕性，對每個外來的日曆邀請進行仔細檢查，避免輕率接受。

雖然 AI 技術為生活帶來了便利，但其安全性仍有待進一步提升，用家要打醒十二分精神，以免成為黑客攻擊的目標。

資料來源：https://www.securityweek.com/chatgpts-new-calendar-integration-can-be-abused-to-steal-emails/