美國一間數碼身份公司早前進行一項研究，了解受訪者對創建密碼的策略及線上安全意識行為。研究竟發現，超過三分之一的人曾嘗試猜測別人的密碼，而當中更有四分之三的人成功登入；而有十分之一的人相信，有人可以從瀏覽他們的社交媒體，來猜出他們的密碼。所以密碼的設定絕不能掉以輕心，以免被人入侵帳戶而不自知！ 總部位於紐約的 Beyond Identity 早前與在美國與 1,015 人進行了訪談，發現無論是密碼共享，抑或是隨便馬虎的密碼設定習慣，都會讓許多人的個人或專業帳戶易受攻擊，這對公司和家庭用戶來說隱藏了巨大的風險。 研究揭示，很多人習慣共享了帳戶密碼，超過一半的人 (50.1%) 分享自己的影片串流媒體帳戶，也有接近半數人分享個人音樂串流媒體帳戶 (44.9%)。甚至有四分之一 (25.7%) 的人會連網上銀行密碼也「共享」。而平均而言，一眾受訪者會與其他人共享三個密碼。 研究表明，許多人曾試圖猜測別人的密碼，部分甚至成功猜對，超過 73% 的人設法猜到了他人的密碼。超過一半 (51.6%) 的人試圖猜測他們另一半的密碼，接近四分之一 (24.6%) 的人曾試圖猜測他們孩子的密碼，更有超過五分之一…

安全意識培訓真係有用㗎！根據 IT 安全公司 F-Secure 最新發表的研究報告，有1/3由員工舉報的可疑電郵，的確內藏惡意行為，例如包含虛假網站連結、帶有惡意功能的附件。萬一有惡意電郵可以繞過防護系統進入收件箱，員工就是一條重要的防線，所以老闆們一定要做好培訓工作呀！ 不少調查顯示，九成企業入侵事件是通過釣魚電郵達成，例如員工誤信電郵內容打開帶有病毒的附件，又或被引導至虛假網頁然後輸入公司帳戶資料，另外亦有員工墮入商業電郵詐騙 (BEC) 陷阱，將鉅款匯入犯罪集團的銀行帳戶，令公司帶來難以估計的損失。而 F-Secure 最新發表的報告，便著眼於員工舉報可疑電郵的準確度。 研究團隊一共分析了 20 萬封由企業員工於今年上半年舉報的可疑電郵，結果確認 33% 電郵的確帶有惡意行為。最多員工認為電郵有可疑的原因，有 60% 認為當中含有可疑的連結，其次為電郵由可疑或不明人士發送，其他如電郵內有可疑附件或疑似垃圾訊息，都是員工決定舉報的主要元素。另外，研究員又指出，如有「Warning」、「Your funds has」或「Message is…

網絡威脅無孔不入，其中透過電郵入侵更是常見的手法，在疫情影響下，對網絡及雲端環境的依賴，令危機擴大。電郵安全公司 Green Radar 劍達（香港）有限公司發表香港首份電郵威脅指數報告，第二季指數顯示為 63 分（最高為 100 分），反映企業面臨的風險水平維持高位，當中釣魚電郵（Phishing Email）及商務電郵詐騙（BEC）處於高風險水平，惡意軟件（Malware）的威脅則處於中風險水平，企業應保持高度警覺。 Kenneth 指，商務電郵詐騙（BEC）屬新型威脅，處於高風險水平。 報告公布 2021 年第二季度首個電郵威脅指數 Green Radar Email Threat Index（GRETI），有別於一般以全球數字作基準的分析，Green Radar…

研究發現，71% 企業或機構曾在過去一年遭受商業電郵詐騙攻擊 (BEC)，而美國 FBI 在過去一年接獲的 19,369 求助中，計算中企業或機構的累計損失高達 18 億美元，屬 2020 年最昂貴的網絡攻擊。而要阻止 BEC，不能單靠電郵防護系統或員工，更重要是結合行政管制政策，全方位堵塞漏洞出現。 商業電郵詐騙攻擊 (Business Email Compromise) 的攻擊手法大致可分為三類，分別是假扮寄件人，或盜用帳戶進行各種詐騙手段，例如轉帳金錢、開啟釣魚網站連結或打開惡意軟件。BEC 相較一般釣魚電郵的不同之處在於它並非漁翁撒網，而是有目標地攻擊企業或機構內的職員。為了假扮成公司內的高層或員工，BEC 罪犯通常會潛伏在內部網絡或電郵系統內一段較長時間，以了解內部架構、生意夥伴的合作業務等情報，甚至偽裝目標的慣常用字，提高詐騙電郵的成功率。以涉及金錢轉帳的騙案為例，日本媒體 Nikkei…

新冠疫情不單只加速企業數據轉型，亦同時加速尋常百姓使用網上服務比例，例如網購、線上學習、收睇網上節目、視像聚會等等，網絡攻擊的機會大增，大部分黑客並非採用石破天驚的新手法入侵，而只是稍稍改動現有攻擊方式，又或作出掩護攻擊，例如以 DDoS 攻擊分散安全團隊的注意力，乘機潛入內部網絡安裝各種惡意軟件等。而在疫情爆發的 18 個月期間，大家應該汲取教訓，改變網絡安全防禦的心態。 不少企業被迫使用遙距工作模式，讓員工在家工作，因此針對雲端服務攻擊的頻率愈來愈高。最常見的方法是通過釣魚電郵竊取帳戶登入資料，從而盜取數據及執行勒索程式，這些攻擊都有可能影響業務流程和商譽。員工需要持續的安全意識培訓和更新設備系統，令遙距工作也能得到一定的安全保障。引入機器學習和分析數據傳輸，是維持網絡最佳狀態的必要元素，同時收集到的資料亦有助安全團隊快速因應變化作出反應。 既然企業必須採用雲端應用服務，因此必須為安全遷移做足準備，最基本要保持所使用的應用服務在最新系統版本，以及採用有信譽的服務供應商。而在轉移雲端之前，亦有一些安全建議可以參考。 慎選供應商：確保雲服務供應商將安全放在首位，最好能將現有數據中心安全性擴展到雲端服務。這樣做可以縮短安全團隊的學習時間，減少錯誤發生，並可以在物理和雲基礎架構採用相同的開發和部署策略。 釐清服務協議：就停機時間、修補漏洞和安全更新達成嚴格的安全服務級別協議 （SLA），確保供應商如何處理 DDoS 攻擊或數據外洩，以掌握清晰的處理流程。 加密至上：確保服務供應商支援最高級別的加密及身份驗證技術，有助減少入侵及，而在即使資料外洩，黑客也無法輕易破解。 雖然要阻止網絡入侵，很多時都要依賴網絡安全工具及人工智能技術，不過最有效的安全策略卻是創建網絡安全文化，讓員工領略強密碼和多重身份驗證的好處，才可真正改變他們日常使用密碼的習慣。而在家庭方面，物聯網（IoT）設備極可能是一大弱點，因為一般家庭用家偏用使用出廠密碼，這種習慣將讓黑客可以輕易入侵，造成財物或私隱外洩等損失。 對於投放了各種先進安全工具的企業來說，仍然必須定期審查和更新安全政策以阻止攻擊者找到新的突破口入侵。正因為雲端應用服務是不可抗逆的發展趨勢，要善用雲的靈活性，便必須同時重視雲的安全性。 資料來源：https://bit.ly/3mdlwDm

雖然勒索軟件、木馬程式佔據了網絡安全新聞的頭條，不過，超過 90% 網絡攻擊都是由釣魚電郵發動，因此企業了解電子郵件威脅的趨勢仍是最重要的工作，因為每一封繞過電郵防護系統進入的釣魚電郵，都有可能導致嚴重的數據外洩事故，造成無法估計的損失。 釣魚電郵中最常見的攻擊方法是騙取帳戶登入資料，因為黑客毋須於電郵中放入惡意軟件，只須引誘受害者到虛假網頁填交資料，因而通過電郵防護系統的機會更大，而這種攻擊主要依賴員工的網絡安全意識高低，去識別是否陷阱。除此之外，電郵防護系統的攔截功能主要建基於已知的攻擊手法、有問題的伺服器位址等，所以未能對付新的攻擊手法，必須借助人類的知識，根據收集到的安全威脅情報去預測攻擊趨勢，因此單憑電郵防護系統是無法完全阻止釣魚電郵攻擊。 在電郵安全領域上，被阻截的惡意電郵數量並不能真正反映系統是否成功，衡量標準應該落在通過安全關卡後的釣魚電郵，是否能夠在演變成數據外洩事故前被迅速偵測出來。不過，電郵防護服務供應商並不傾向分享這些數據，在商言商，這種做法完全合理，因為分享系統無法第一時間攔截的數據對他們並沒有益處，反而有可能影響客戶的信任，而且公開後便需要快速修補問題，以彌補放入釣魚電郵的漏洞。 換一個角度說，防護工具的攔截方法始終有迹可循，黑客可通過嘗試調整攻擊策略，以成功讓釣魚電郵進入正常郵箱；不過，黑客難以估計員工的識別標準，可通過防護系統並不等於可成功騙取員工。既然沒有任何防護系統可 100% 阻止網絡攻擊，而企業亦無法單靠人力處理數以千計的安全警報或完全識別惡意電郵，關鍵便在於如何結合雙方，真正推動電郵安全水平。 企業平常必須為員工進行安全意識培訓，而對於安全意識經理來說，模擬攻擊必須接近真實的威脅，即因應當時的社會狀況、潮流、時間，作為模擬攻擊的主題。安全意識經理應與和 SOC 安全運作中心齊心協力設計模擬，以密切模仿針對特定行業的最新威脅。 關於如何模擬電郵攻擊及處理未能通過模擬安全測試的員工，企業亦須特別注意，警告或懲罰只會顯著下降員工的士氣，而且即使員工不慎中招，也不應嚴厲責罵，以免令他們日後不敢上報，反而令作業環境變得更不安全。 資料來源：https://bit.ly/3rXtIs6

企業依賴不同網絡安全服務供應商維護，但黑客攻擊一樣都有服務提供！犯罪即服務 (Crime-as-a-Service, CaaS) 是有經驗的網絡犯罪分子，出售對執行網絡犯罪所需的工具和知識，並多見於發動網絡釣魚攻擊。CaaS 可謂是令人人都可以成為攻擊者的途徑！ 對於黑客來說，利用網絡釣魚手法，是竊取組織的數據最簡單方法之一，但一般而言，成功發起網絡釣魚活動的網絡攻擊者，需具備技術和社交工程知識相關經驗。但隨 CaaS 的出現，幾乎任何人都可以通過支付些微費用，搖身一變成為網絡釣魚高手。 CaaS 服務供應商會向業餘攻擊者，提供讓他們能自己成功發動網絡釣魚攻擊所需的一切，包括詳盡的攻擊目標列表、電郵模板等。攻擊者甚至可以支付存取已被入侵的伺服器，以更容易隱藏痕迹，在入侵時的障礙減少，將令網絡釣魚攻擊變得更易，對被針對的目標組織來說將會是很大的難題。CaaS 令網絡釣魚成為一種對網絡犯罪分子而言，更具吸引力的攻擊方法，因為它更易存取資料，兼且勞動力低。當攻擊者可使用現成的網絡釣魚攻擊，來攻擊目標機構的安全漏洞時，就不需花費數月時間尋找漏洞，更可令網絡釣魚活動更容易擴展，換言之犯罪分子執行攻擊所需的時間和精力將減少。 CaaS 具有可下載的模板，令缺乏相關知識的攻擊者同樣可發動攻擊，提升釣魚電郵成功進入企業員工的電郵信箱的機會，例如內容加密、隱藏附件中的 URL 來逃避檢測。由於攻擊者能夠執行大量技術複雜的攻擊，因此對組織的威脅是顯而易見的。最令人企業擔憂的是，這些釣魚活動易於執行且非常有效。 由於使用 CaaS 工具執行的網絡釣魚攻擊大多針對員工，付企業及組織更難解決問題。他們使用社交工程策略來欺騙終端用戶，大多是透過欺騙信任和緊迫性的手段。他們可以使用公開的情報，例如從公司網站、社交媒體資料和過去的數據洩露中收集數據，以製作可信的魚叉式網絡釣魚活動。 在 CaaS…

漫威（Marvel）的超級英雄系列，一直廣受大眾歡迎。Loki 作為 Thor 的弟弟最近在一場「戰役」中，竟然勝過「大佬」，而這件事竟是與密碼有關，是怎麼一回事呢？ 資安專家 Davey Winder 在 Forbes 分享，很多人在創建密碼時，都會將超級英雄的名字融入當中，不過 Winder 指出這個創建密碼的方式其實很糟糕：據密碼專家 Specops 最新發表的研究指出，超級英雄的名字在已洩露的個人憑據數據庫中，出現了超過 100 萬次。而漫威的超級英雄中，誰的名字在這批外洩密碼中名列前茅？答案就是 Loki 和 Thor。Loki 作為密碼出現的次數為…

根據雲端安全解決方案供應商 Barracuda 最新分析，在 2020 年 10 月至 2021 年 5 月期間，針對竊取比特幣的網絡釣魚（Phishing Impersonations）和商用電郵詐騙攻擊（Business Email Compromise, BEC）的攻擊激增了 192%，而過去八個月比特幣需求和價格亦呈現上漲，反映隨著比特幣價值上升，相關的攻擊也隨之而增加。分析披露，不法分子趁機利用魚叉式網路釣魚、商用電郵詐騙及勒索軟件攻擊欺騙潛在受害者。 研究發現，由於比特幣需求增加、價格估值上升以及加密貨幣持有者大幅提升，比特幣的價格在 2020 年 10 月至…

瞄準智能手機的惡意軟件攻擊愈來愈多，智能手機用家只能靠防毒軟件及自我安全意識作防護。不過一份新公布的研究卻顯示，17款防毒軟件對特製「變形」惡意軟件的過濾能力，只得 9 款合格。打算安裝手機防毒軟件，就要參考一下。 一份由土耳其 Adana Science and Technology University 及巴基斯坦 University of Science and Technology 的聯合研究報告最近出爐，研究員針對手機防毒軟件攔截「變形」惡意軟件的能力進行了一番測試，結果發現攔截能力不似預期，特別是 Android 系統的攔截能力就更弱，原因是 Android 可讓用家決定是否安裝第三方軟件所致。…