供應鏈（supply chain）攻擊，可以話係最易令人中招嘅攻擊手法，因為一般人對放喺官網嘅嘢都比較有信心，好少會懷疑提供下載嘅檔案會唔安全，當然如果所謂官網係細公司製作又或做得流流哋，咁又另當別論啦。今次出事嘅係加密貨幣門羅（Monero）幣，有用家話喺檢查由 GetMonero 下載落嚟嘅電子錢包時，發現同官網列出嘅雜湊值（hash）唔一致，懷疑電子錢包俾人做咗手腳。經調查後，發現呢個並唔係錯誤，而係針對 GetMonero 用家嘅惡意攻擊，目的係偷走佢哋嘅門羅幣。 事件發生後，GetMonero 即刻對自己網站上嘅各種版本電子錢包進行分析，發現 Linux 版本俾黑客加入咗幾項特別功能，其中一項係當用家開啟或創建一個電子錢包時，就會自動將用嚟進入錢包嘅 key，傳送去黑客嘅伺服器，黑客就可以用呢條 key 入受害者帳戶轉帳。GetMonero 證實喺 11 月 18 日凌晨兩點半至同日下午四點半期間，下載嘅電子錢包都可能存在問題，建議用家檢查清楚 hash 值，如發現唔同就要即刻刪除。…

上次邀請了網絡安全保險專家盧子頴，講解這類保險的保障範圍，以及哪一類企業應該盡快考慮投保。不過，原來並非想買就可以買到，因為保險公司會先評估投保人有沒有做足安全措施，除了影響投保成功投保率，更會左右保費。 三大因素影響投保 網絡安全保險供應商智咨詢集團執行董事盧子頴指出，雖然遇到的個案不多，但間中也會有投保人以為只要有錢就可投保，但其實保險公司也需要核保，評估投保人受到網絡攻擊的風險。「如果店鋪連門鎖也沒有，試問怎會有保險公司受保？」他指出保險公司首先會檢查企業現有的網絡安全措施，例如有沒有裝設防火牆、防毒軟件、登入權限管理、升級硬件及軟件韌體的政策、個人私隱保管政策、遙距登入管制等等，「如果企業完全沒有做，保險公司會建議對方先做好基本的網絡安全措施，之後才考慮投保，因為即使轉投其他保險公司，相信也不會成功。」盧子頴補充說，其實投保不能賺錢，只能減少損失，所以如果站在預防被攻擊的立場，企業都應先做好防禦工作。 除了檢查安全措施，盧子頴表示保險公司還會考慮企業的業務性質，如屬於高風險行業，例如涉及加密貨幣交易，又或處理的個人私隱數據太多，就並非所有保險公司就會受保。另外，一些規模較細的保險公司，如投保企業每年的生意額太高，也可能因為承受不到風險而無法接單，這些因素就與投保企業無關。 上述的考慮因素，不單只會左右投保成功率，同時也會影響保費，「因為全部同風險有關，簡單來說，風險愈高的生意，保險公司收取的保費就會愈高。」盧子頴解釋跟傳統保險服務一樣，保費高低還要因應保額、墊底費及保障內容計算，如前文提及的增值保障如勒索贖金、外判商失誤等，便會提高投保費用。記者問如企業內擁有考獲 CISSP、CEH 等證書的網絡安全專家，安全度理應較高，是否可成為減保費的因素？他說理論上是，但同時間代表企業的業務複雜性較高，而且亦可能有較多監管要求，所以保費最終也要視乎實際情況而定。 「雖然保險費用很難有參考價格，但視乎選購的保險計劃，保費可低至每年五六千元。」盧子頴建議企業管理者不用想得太多，如認為業務受到攻擊的風險頗高，應邀請保險公司進行評估，之後再考慮是否購買也不遲。

僵屍網絡係其中一種黑客最常用嘅攻擊方法，因為受感染及操控嘅僵屍電腦真係好使好用，唔單只可以用嚟發動 DDoS 攻擊，亦可以借用嚟挖礦，每部機借少少運算能力出嚟，黑客幾乎乜都唔使做就有加密貨幣收，而且中招者亦唔易發覺，難怪成為黑客愛用手段。不過，最近一個由黑客控制嘅 Command & Control（C&C） Server，就俾法國警方成功搗破，一下子解放咗 85 萬部僵屍電腦，認真功德無量！ 今次事件嘅幕後功臣係防毒軟件公司 Avast 嘅專家，因為佢哋發現咗網上其中一個惡意程式 Retadup 嘅 C&C 伺服器設計上存在漏洞，如果能夠好好利用，就可以將佢由黑變白，遙距移除受害人電腦內嘅惡意程式。 偷襲C&C伺服器 不過，瓦解黑客集團嘅過程都唔簡單，由於 Avast 專家發現…

睇子華嘅最鍾意嗌「回水」，不過冇一次得到正面回應。而最近有黑客被補之後，起返之前呃落嘅 110 萬 Bitcoin 贓款，當局決定將贓款歸還苦主，實現真正嘅回水！ 是咁的，英國警方花咗兩年時間調查，終於响 2017 年 9 月成功捉到 Grant West（aka Courvoisier），行動外號叫「Operation Draba」。 Grant West 被判監 10 年零 8…

喺《Matrix》電影入面，Agent Smith 原本嘅職責係消除系統唔穩定嘅因素，以及清理漏洞 Neo，可以話係維穩工具。不過，最近網絡安全研究員就發現咗一種新嘅手機惡意軟件變種，已經感染咗約 2500 萬部 Android 裝置，而佢嘅名就係「Agent Smith」！ Agent Smith 係一種識得透過偽裝手法，令到其他手機應用軟件變成同黨，齊齊顯示指定廣告以增加廣告收入嘅惡意軟件。Check Point 研究員發現，Agent Smith 攻擊主要針對印度、巴基斯坦、尼泊爾等亞洲地區，但美國、澳洲、英國亦有唔少用家中招。Agent Smith 會分三階段嚟達成攻擊，首先需要引誘用家下載及安裝含有 dropper 嘅軟件，例如係免費遊戲、應用軟件或成人娛樂等，進入手機系統後就會自動解碼，並利用數個已知嘅…

近年 IT 行業人材短缺，Cyber Security 網絡安全就更是重災區，人手極度不足；修讀相關課程的畢業生突然變得搶手，不少準畢業生表示將學歷放上 LinkedIn 等職場社交平台，很快就有人力資源顧問公司找上門。不過，所謂搶手實屬虛火，因為僱主最著重求職者的實際工作能力，要成功受聘，或加入心儀的大公司，還得先展示自己的實力。問題來了，對一個即將畢業的學生來說，如何憑空變出實力證明？參加黑客大賽，就是一個最佳捷徑。 貼地難題取材現實 一畢業就加入全球四大會計師事務所工作，相信是不少準大學畢業生的夢想。三位來自香港中文大學計算機科學與工程學系、信息工程學系和數學系的學生梁成悅（Jason）、湯湛飛（Chris）、陳兆俊 （Erwin），就於去年畢業後獲羅兵咸永道會計師事務所（PricewaterhouseCoopers, PwC）聘用，成為網絡安全部門的職員。能夠有這項令人葡萄不已的待遇，全因他們去年於「HackaDay 2018」黑客大賽勝出，展示了卓越的網絡安全工作能力。PwC 合伙人顏國定說公司在擬定賽事的題目時，內容非常貼地，都是客戶日常都會面對的網絡安全問題，所以能夠勝出賽事，代表優勝隊伍都非常熟悉相關問題，比起一般面試更能掌握求職者的實力，所以公司會向優勝隊伍提供實習或優先面試的機會。換言之拿著這張直通車票，如無意外都可成為 PwC 的一員，毋須再經人事部篩選，過五關斬六將。 Erwin（右二）、Jason（中）及Chris（左二）去完奪得 HackaDay 2018 賽事冠軍，當時也沒想到真的可以加入 PwC。…

講緊嘅唔係侵侵嗌停中美貿易談判引爆嘅華爾街股災，而係全球第二大暗網交易平台 華爾街市場（Wall Street Market）因為被歐美警方聯手搗破，搞到賣家及用戶人人自危嘅事件。今次行動能夠成功破獲呢個暗網（Dark Web）交易平台，原來全因一個管理員勒索用戶失敗，於是決定攬炒，將登入 華爾街市場 嘅資料公開，造就今次歐美警方嘅聯合行動大舉成功。 暗網保護基制隱藏身份 暗網交易平台，係指透過洋葱網絡（Tor）嘅層層隱身管道，成功製造出一個俾毒品、武器等違禁品賣家及買家聚集嘅網上空間，由於身份難以追蹤，所以全球警方要對付呢啲平台都唔容易，要喺上面販毒、售賣軍火、買兇都得，而平台就會收返啲服務費。當然為咗隱藏身份，就連交易都會用加密貨幣。 Silkkitie 被冚 華爾街市場 人流大增 今次歐美警方聯手搗破 華爾街市場 嘅行動雖然發生喺 4 月尾，不過，事件嘅導火線可以追溯至今年初芬蘭海關瓦解另一個暗網交易平台 Silkkitie 開始。由於芬蘭海關成功拉人封鋪，逼使原本喺…

勒索軟件肆虐全球，著名的有 WannaCry、NotPetya、Locky、LeakerLocker 等，而 PyLocky 主要於歐洲肆虐，重災區為法國，不過 PyLocky 有英、法、韓及意大利版本，顯示此勒索軟件亦針對不同語系受害者。 透過垃圾電郵散播，能避過沙盒偵測 PyLocky 於去年發現，屬變種 Locky 勒索軟件，散播途徑主要透過垃圾電郵及釣魚電郵，誘騙受害者開始連結，觸發惡意程式。PyLocky 會進入睡眠狀態 999.999 秒或 11 日半（如受害系統記憶容量只餘 4GB 以下），以避過沙盒偵測。PyLocky 以…

加密貨幣「比特幣」引起大眾的關注，相信很多人也理解什麼是區塊鏈技術了。雖然比特幣的功能有限，但憑藉其區塊鏈的優勢，已經發展成為可以交換和存儲價值的可信系統。 「以太坊」就是一個執行智能合約的分散式平台 但是，如果你想訂立一項經濟協議或未來的交易呢？如何利用分散記錄？「以太坊」(Ethereum)就是使用了區塊鏈 2.0 技術來創建「智能合約」，透過編寫代碼，使雙方達成協議而不需要中間人，並形成一個執行智能合約的分散式平台。 比特幣不能記錄一份「合約」 以太坊為智能合約提供了動力。舉個例子，A 君和 B 君打賭曼城會否再贏得來屆英超冠軍，注碼 10 個比特幣。假如 A 君和 B 君都互相不信任，他們將不得不使用可信的第三方作為託管代理。換句話說，他們每個人都必須向代理商提供這筆款項，代理商負責分發獎金。在這種情況下，即使中間人使用比特幣，比特幣區塊鏈也無法記錄這個合約。 以太坊就是有約束力「合約」 以太坊就提供了一個「智能」解決方案，讓A君和B君雙方同意下使用一些基本代碼，把條款記錄下來，然後放在以太坊的區塊鏈上，令到協議變得具有約束力。這就是一個「合約」，因為 A 君和…