早前 Google 為 Chrome 瀏覽器推出更新，原本打算修復 24 個安全問題，但更新推出後卻引起 Windows 用家恐慌，因為有用家發現竟無法讀取儲存於瀏覽器內的帳戶登入密碼，試想像現時儲存在密碼管理器內的密碼至少有數十個，如果用家真的為每個帳戶設定不同密碼，相信要重設都要花費不少時間。 Google 事後指出當時約有 25% 用家進行了更新，而當中有 2% 受到影響，有傳媒就估計約涉及過千萬用家，幸好問題現在已解決，如發現儲存密碼不翼而飛，只要重啟瀏覽器就可解決問題。 想知最新科技新聞？立即免費訂閱！ 相信現時大家為了使用各種網上服務，例如近期非常熱門的 AI 應用，都已登記了很多網上帳戶，而為了減少其中一個服務供應商因洩露用家資訊，牽連其他帳戶失守的風險，不少用家都會為帳戶設定不同密碼。而為了方便用家登入帳戶，瀏覽器供應商都會提供密碼管理功能，通過自動填寫儲存密碼快速登入帳戶。雖然此舉同樣方便黑客一次過盜取儲存的登入資料，但在便利與安全之間，絕大部分用家都會選擇這項功能。 不過，上星期就有多名…

為了應對日趨嚴重的網絡釣魚事件，新加坡金融管理局（Monetary Authority of Singapore）表示將在未來三個月逐步取消主要零售銀行中已採用數碼保安編碼（Security Digital Token）的客戶的一次性密碼（OTP）驗證登入方式。由於這些客戶日後在登入銀行帳戶，又或修改交易設定時只能通過銀行的手機應用程式驗證，不用擔心被網絡騙徒通過騙取一次性密碼騎劫帳戶騙財，將可減少網上騙案發生。 想知最新科技新聞？立即免費訂閱！ 早前新加坡警方曾發出警告，稱網絡釣魚詐騙個案愈來愈多，在騙徒假扮為銀行的事件中，騙徒會漁翁撒網式向市民發出短訊，內容是銀行發現客戶的帳戶有可疑活動或發現疑似虛假的交易，要求收訊人立即點擊連結重新驗證身份，而在跳轉的虛假銀行網頁上如客戶輸入了自己的帳戶名稱、密碼及通過短訊或電郵接收的一次性驗證碼，騙徒便可登入受害者的帳戶轉帳金錢。 根據新加坡警方公布的資料顯示，單在去年 12 月，騙徒便在新加坡詐騙了 103 人，賺取至少 16.1 萬新加坡元。直至今年 1 月份頭兩星期，數字更上升至 219 人受騙，損失至少 44.6…

美國著名牛仔褲製造商 Levi’s 成為網絡攻擊的受害者，上星期公司向各州檢察長提交安全事故報告，承認於本月 13 日遭受黑客的憑證填充攻擊，導致超過 72,231 位顧客的私隱資料外洩。不過，官方未有回應會否向受害客戶提供身份監察服務，似乎罔顧了客戶的安全風險。 想知最新科技新聞？立即免費訂閱！ 憑證填充攻擊（Credential Stuffing）的原理是黑客從暗網等地方購買一些外洩事故中的公司帳戶登入資料，利用受害人重複使用相同密碼的習慣，黑客會使用這些被盜取的帳號密碼組合，大規模嘗試登錄同一公司的其他帳戶。為了提升效率，黑客更會操控殭屍網絡（Botnet）大軍實現自動化攻擊。由於入侵難度及所需技術較低，因而廣受黑客歡迎。 根據 Levi’s 提交的報告顯示，黑客便是利用這種方式入侵公司帳戶，並獲取了包括客戶姓名、電郵地址、送貨地址和訂單記錄等私隱資料，而如果客戶在購買時選擇保存支付的信用卡資料，信用卡後四位數字、卡種和有效日期亦有機會被竊取。 雖然官方指目前未有證據顯示這批資料已被濫用，但公司已即時採取措施回應，例如通知受影響客戶須重置密碼，又建議客戶應即時重設其他採用了相同密碼的網上帳戶，以保障不會被黑客使用相同手法入侵。有傳媒向 Levi’s 查詢除了以上補救措施，是否會向受影響客戶提供身份監察服務，不過官方就未有正面回應。 相信不少人都曾聽過身份監察服務（Iidentity Monitoring Service），而事實上大部分人亦正在享用同類型服務而不自知，當中 Google、Microsoft…

美國網絡安全和基礎設施安全局（CISA）再度發出呼籲，要求網絡產品供應商停止為推出的軟硬件產品採用預設密碼，因為該局發現不少 IT 人員將產品部署在企業的基礎設施後，並未有修改密碼而直接使用，導致黑客可以輕易入侵企業，造成機密技術被盜或遭受各類型網絡攻擊。其實過往已發生不少同類入侵個案，單靠一個呼籲，似乎影響力有限。 想知最新科技新聞？立即免費訂閱 ！ CISA 改為源頭解決問題 採用生產商的預設管理帳戶登入名稱及密碼有多危險，相信每個 IT 技術人員都非常清晰，例如最近伊朗黑客就採用了這種方法，入侵預設密碼值為 1111 的 Unitronics 可編程邏輯控制器（PLC），當中便包括美國一個供水設施，如被黑客惡意利用，便可在關鍵時刻造成斷水或惡意排洪，對政府的公信力可帶來重大打擊。過往美國 CISA 曾多次向企業及機構發出警告，指如果不更改這些預設設定，攻擊者便可以利用這些漏洞入侵內部網絡，從而危及企業整個網絡的安全。 不過，CISA 指出從多年經驗可見，依靠企業的管理員為網絡產品更改密碼並不足夠，無論有意或無意，管理員似乎並未在部署後修改密碼，只要簡單利用網絡掃描工具搜尋特定產品，黑客便能利用預設帳戶登入資料嘗試入侵，研究亦證實相關安全漏洞依然廣泛存在，因此官方這次便轉移方向，敦促生產商由源頭解決問題。 有國家就產品安全性展開立法程序 CISA…

雖則全球每日都在發生入侵企業事故，不過，其實很多時黑客並非通過搜尋 IT 漏洞達成任務，而是用更簡單的方法，例如花點時間騙取目標企業員工的帳戶登入資料，或索性用暴力破解（brute force）或密碼噴灑（password spraying）猜測帳戶密碼。 想知最新科技新聞？立即免費訂閱 ！ 根據《2023 年 Verizon 數據洩漏調查報告》提及，在 2021 年 11 月至 2022 年 10 月期間發生的數據外洩事件中，有 83%…

雖然近期 Google、Microsoft和Apple都各自在其平台推出了無密碼的驗證密鑰（passkey）功能，但大多數人仍然選擇使用自己的密碼。Google 最近開始透過FIDO 聯盟（Fast Identity Online Alliance）測試 Chrome 和 Android 中的驗證密鑰支援功能，而 FIDO 的密鑰是以智能手機傳感器進行生物識別身份驗證，以完成無密碼登入。Apple 於 6 月宣布 iOS 和 macOS 支援使用…

Tesla創辦人 Elon Musk 完成收購社交媒體Twitter後即時大舉改革，包括解僱公司管理層、計劃削減 Twitter 一半人手，近日更延伸到用戶認證制度，透過 Twitter 宣布會向藍剔徽章用戶收取每月 8 美金的費用。Elon Musk 此舉引來 Twitter 用戶熱烈討論外，更吸引了騙徒乘機利用 Twitter 藍剔認證之亂，向用戶發出網絡釣魚電郵。 Twitter 藍剔徽章認證一向深受歡迎，因為比例少、關注度高，令不少用戶都想擁有。然而近日許多 Twitter 用戶聲稱收到電郵，包括外國媒體…

不論去銀行提款機撳錢，又或使用電腦登入帳戶，很多時也無法避免要使用鍵盤輸入密碼或登入資料。英國格拉斯哥大學研究團隊就指出，只要通過熱能監察鏡頭及AI人工智能系統，就可以憑鍵盤上殘留的熱量還原密碼，就算在一分鐘後偵測熱能，成功率都有 62%。系統甚至能 100% 破解 6 位數字的銀行提款機密碼，非常危險，以後輸入密碼，可能要作狀撳多幾個掣。 在鍵盤上讀取輸入密碼的橋段，曾經在大量電視劇集或電影內出現，不過大部分都是掃描留在輸入裝置上面的指紋，極少會偵測殘餘熱量。英國格拉斯哥大學電腦科學系研究員受到熱能監察鏡頭大跌價啟發，再結合人工智能及機器學習系統，設計出名為 ThermoSecure 的還原密碼方法。 研究員解釋，雖然一般人在鍵盤或 keypad 上輸入密碼，手指尖每次接觸表面材質的時間都很短，但無可避免地會將熱能傳送到表面上，因此只要在極短時間內利用熱能監察鏡頭拍攝鍵盤或 keypad 表面，便能取得曾輸入過的按掣資料及其順序。根據測試，在一分鐘時偵測熱能成功率有 62% ，如在 20 秒內，成功率更飊升至 86%。 研究員說，其實這種技術非常普通，要擷取資料並不困難。但還原密碼的難度在於連續輸入的時間極短，導致熱能變化差距微細，如果單靠人力去分析，除非密碼只得幾個字元，否則便極難做到，因此必須出動人工智能及機器學習，讓系統從大量數據中整理出人類輸入密碼及創建密碼的習慣、常用的密碼字元及組合等，即使是多字元的高強度密碼，也有可能成功還原。從研究員公布的數據可見，系統成功還原…

VNC (Virtual Network Computing) 是不少企業都會使用的工具，不過，在網絡安全層面卻沒有適當的保護，有專家便發現，超過 9,000 個面向互聯網的 VNC 竟沒有密碼保護，而且當中更有屬於製造業的 SCADA 系統，一旦被黑客控制，隨時可引發大災難。 VNC 是一套可讓一部電腦遙距控制另一部電腦操作的軟件，以往最大用途是可讓 IT 員工遙距替其他同事解決電腦問題，而在新冠疫情期間，由於員工無法回到公司工作，因此不少企業都要借助 VNC 讓員工工作。不過，網絡安全公司 Cyble 最近進行一次調查便發現，有超過 9,000…

危險的密碼比比皆是，愈簡單的密碼，如生日日期、超級英雄的名字、連續的數字等，愈容易遭撞破。但人類的確總是重複犯錯，仍舊貪一時之快，以最簡單的方法設定密碼，甚至將「Password」本尊設為密碼。早前「Password」又肇禍，黑客藉此入侵伺服器竊取數據，並向受害者發出 1,500 萬美元的贖金要求。 今次的受害者是 TransUnion 的南非分部，手持超過 2,400 萬南非居民的信用資料。攻擊者是一個自稱叫 N4ughtysecTU 的巴西組織， 該組織的代表向 Bleeping Computer 表示，他們用簡單的字典攻擊（dictionary attack），粗暴爆破獲得 TransUnion South Africa 伺服器的訪問權限。伺服器上一個帳戶用「Password」作密碼，黑客使用密碼爆破工具，只需約一秒鐘的時間便猜測出來。 而…