IT業界社群及資訊平台

【獨家專訪】爆疫後 港網絡攻擊增十倍 揭資安水平大落後

一場疫症,令大部分香港企業被迫急著數碼轉型,同時黑客亦覷準機會,大舉進攻港企網絡,當中不乏巨型企業中招,暴露了潛藏已久的企業網絡安全意識嚴重不足問題。PwC 網絡安全及私隱保護服務合夥人及 Dark Lab 創辦人顏國定透露,香港近期的網絡攻擊事件大幅上升約十倍。他分析情況指,港企的資安水平落後世界先進地方最少 5 年,主因沿於長久以來,香港社會針對網絡攻擊事件的透明度不足,造成企業以至大眾對網絡安全失去危機感。他認為,現時的監管機制只靠企業自願性披露,情況恐難改善。

香港網絡攻擊升十倍 勒索攻擊明顯進化

顏國定表示,在疫症爆發之前,經他團隊處理的本地網絡攻擊事故,一年平均約四十多宗。但疫症爆發至今,處理事故宗數大幅上升至幾乎一日一至兩宗,按此比例計算,升幅達十倍,而且黑客的攻擊手段亦越見高明。顏以勒索攻擊為例,以往黑客成功駭進企業系統,會短時間引爆病毒,癱瘓並鎖死企業系統,然後直接要求企業支付贖金,攻擊是一次性的。現在,黑客會先潛伏企業系統內一段時間(以香港情況,潛伏期大概一個月),期間黑客會偷偷在系統裝上電腦病毒及後門程式,並且盡量搜集企業的機密資料及客戶資料,之後等待適當時機,黑客就會「唧牙膏」式地攻擊,例如突然在社交媒體把企業的機密資料到處洩漏,並要求企業支付贖金;如果企業拒絕,黑客就會在對方疲於尋找解決方法時,再突然洩漏更多資料,甚至鎖死企業系統。這種持續性的攻擊,比起舊有模式,對企業造成更大恐慌和困擾,因為企業無法得知還有幾多機密資料和客戶私隱會被突然洩漏,相對地受害人就會更容易支付贖金。

長期認知不足 港企資安水平落後

顏國定亦指出,雖然香港企業在近期的數碼轉型風潮下,確實增加投放資源在網絡安全之上,但卻流於「買最貴的系統,但買回來後,從不善用」的層次,令到保安系統即使升級,仍未能發揮應有作用,有些大公司甚至連最基本的 MFA (多重認證)都未有實施。顏形容,港企的網絡安全水平落後世界先進國家五年,主要原因是社會對網絡安全意識長期不足,由市民大眾到公司企業,都不知道網絡攻擊的嚴重性,「連 MFA 這些低成本又有效的保安措施都嫌麻煩」。由於缺乏意識,因此由資訊安全的人材培訓,以至保安系統升級,都被長期忽視,結果現在急於數碼轉型的情況下,企業網絡保安錯漏百出,淪為黑客攻擊目標,「黑客其實都是漁翁撒網式在世界各地找獵物,所以哪裏防禦措施薄弱,哪裏就會成為黑客的天堂。」

監管靠自願披露 透明度不足恐難改善

針對社會整體對網絡安全意低下問題,顏國定認為,核心在於網絡攻擊事故的「披露(Disclosure)」不足,「香港現時的資安教育,很多時候是要求市民大眾『自己小心啲』,但人性在缺乏危機感下,必然會粗心大意。因此最有效的教育是增加危機感。」顏解釋,香港現時主要靠《個人資料(私隱)條例》要求企業自願性披露網絡攻擊事故,但由於欠缺約束力,企業為保聲譽,都會盡量低調處理,結果網絡攻擊事故鮮被曝光,社會大眾一直誤以為「風平浪靜」,自然不懂得去重視問題。他建議,政府可以借鏡先進國家,立法要求企業必須主動披露網絡攻擊事故,並為企業網絡安全措施要求,訂立清晰標準,以有效提高資訊透明度。「只有建立在有力的法律基礎上,企業才有不能迴避的責任,去披露資安問題的實際情況。當資訊的透明度有所提高,公眾認清事實,大家才會從日常生活中感受到網絡攻擊的嚴重性。於這樣的社會氣氛下,我們才能談得上以教育提高大眾以至企業的網絡安全意識。」

Privacy Preference Center