號稱保安性極高嘅 Apple Card，推出無耐，已經出現咗首個被盜用簽帳嘅個案喇。受害人 David 打去 Apple 尋求協助，但獲得嘅回應竟然係話佢哋都唔知點解可以發生，而且一張卡同時出現喺兩個地方實在太奇怪。可能你會問，複製咗就得啦好難咩？咁我哋就首先回一回帶，睇吓 Apple Card 有乜咁巴閉先。 Apple Card 分為實體及虛擬卡，鈦金屬製嘅實體 Apple Card ，卡身只係得晶片同埋帳戶名稱，信用卡號碼、CVV保安號碼、到期日以及簽名位完全被消失，所以就算想複製張卡都唔係易事，而且就算俾人執到呢張卡，想用嚟網上購物都唔得。至於虛擬 Apple Card 就收喺 iPhone…

涉及侵害個人私隱嘅法例推行，會唔會影響到國外投資者信心，以及侵害到國家喺國際上嘅競爭力問題，最近又成為咗澳洲政府獨立安全法監察局（Independent National Security Legislation Monitor,INSLM）檢討緊嘅問題。負責今次調責嘅 Dr Renwick 就話，雖然現時全球政府都面對住加密技術妨礙搜證嘅問題，但如果呢啲侵入性法例會令到公眾懷疑佢嘅安全性，同時會令執法機關行使不必要嘅權力，咁就有機會要修正喇。 方便搜證疑侵害私隱權 講緊嘅係澳洲上年年尾通過咗一條Telecommunications and Other Legislation (Assistance and Access) Act 嘅修正法例，目的係為咗方便執法人調查罪犯，以防佢哋以加密方式收起犯罪證據，因此建議但凡唔肯向執法人員提供手機同埋手提電腦密碼，有機會被判五年監禁及罰款50000澳幣。 咁都不特止，正所謂魔鬼永遠喺細節度，原來條例仲講明，如果執法機構要求科技公司幫手，解開某人嘅電子設備密碼，而科技公司拒絕配合，分分鐘要面臨約 5000萬港幣嘅罰款！而如果科技公司嘅員工向任何人透露執法機構嘅要求，亦有機會被判五年監！外國公司亦可以用呢條法例，叫澳洲律政部長查你部電腦，睇下有無境外犯法，總之一句講晒，就係條法例好鬼惡啦！ 澳洲政府嘅理據係，因為近幾年科技發展太快，影響到執法同埋危害國家安全，所以先打算立呢條法例，新南威爾斯州公民自由委員會副主席Lesley…

香港人壓力咁大，男士們少不免會去睇下鹹網減壓，不過防毒軟件商 ESET 最近就發現咗有隻叫 Varenyky 嘅新病毒，會偷偷錄起你去鹹網嘅畫面，隨時有可能用嚟勒索你，減壓不成反而仲大壓力，認真慘慘豬！ 其實呢隻病毒都出現咗一段時間，今年五月左右開始喺法國境內活躣，暫時未見佢出現喺其他國家或者地區。最初佢嘅「毒性」好溫和，主要都係針對法國當地用緊 Orange 呢間電訊商嘅客，不外乎用有筍價手機嘅宣傳單張嚟引你注意，冇睇清楚唔小心撳咗入條 link 就中招，手法唔算特別。 ESET 一直監察呢隻病毒，發現佢無時無刻都喺度變種，密密不停加入新功能，而且七月開始亦唔再出手機推廣電郵，而係出性勒索電郵。經過 ESET 專家深入調查，發現佢加咗段程式碼，只要瀏覽器出現 sexe（sex 法語）字眼，就會啟動 FFmpeg 程式，將用家睇緊嘅畫面錄起，然後將段片傳去病毒嘅原伺服器。 雖然仲未知道黑客錄呢段片想點，但好大可能係想拎嚟勒索對方，因為專家發現 Varenyk…

有上過 WeWork 呢類 co-working space 共享工作空間，或實際上已經租咗嚟用，係咪都會覺得喺嗰度做嘢又 chic 又 chill，自己返工都要開始注重下衣著品味同打扮咁呢？但如果話你知喺呢類共享工作空間做嘢，佢哋嘅 Wi-Fi 網絡原來唔多安全，好易俾其他人攔截到傳輸嘅機密檔案，咁你仲會唔會咁安心做嘢呢？ 提供共享工作空間服務嘅 WeWork， 今年想透過 IPO 公開集資上市，不過因為經營模式嘅賺錢能力受到公眾質疑，所以 WeWork 已宣布延遲上市。另一方面，WeWork 入面嘅 Wi-Fi…

Apple 嘅 iPhone 11 系列將於下星期五推出，伴隨住新機出爐，作業系統亦會升上 iOS 13。不過，早前 Apple 放出供測試嘅 iOS 13 GM（Golden Master） 版最然係最接近完成嘅版本，但就俾網絡安全研究員 Jose Rodriguez 篤爆 Apple 仲未修補到之前佢舉報嘅漏洞，可以喺唔使機主解鎖嘅情況下，讀取機主嘅聯絡人資料。 Rodriguez…

研究員搵漏洞，除咗想維護網絡安全，亦希望對方可以正視問題，之不過站於對方立場，醜事梗係收埋最好。早前有研究員發現一款路由器有嚴重漏洞，之不過廠方嘅回應就有好大改善空間囉。 Singtel 旗下網絡安全研究團隊 Trustwave 嘅 Spiderlabs 喺年初發現，一款 D-Link ADSL2+ 路由器出現嚴重漏洞，可以唔使認證，直接從網頁上獲取路由器資料，當中更包括密碼。方法就係喺路由器嘅 index.asp 頁內搜尋 username_v 及 password_v 參數，咁就攞到用戶嘅登入資料。此漏洞非常嚴重，意味著黑客可以控制路由器、截取當中嘅數據傳輸。 Trustwave 當然有向 D-Link 通報，不過，對方似乎唔係好理。原本…

驚住仔女、年長父母、寵物走失，所以買個 GPS 追蹤器俾佢哋，原意係好，但如果罪犯都睇到佢哋嘅位置，係咪仲唔安樂？ 網絡安全軟件公司 Avast 研究員 Martin Hron 發現，估計喺 Amazon 上發售、價錢介乎港幣 200 至 400 蚊嘅 GPS 追蹤器材當中，有大約 60 萬部存在安全漏洞，可以俾罪犯掌握佩戴者嘅即時位置、暗中啟動收音咪，甚至篡改衛星定位位置，令用家誤以為佩戴者喺「安全」地方活動。 Martin 特別指出一系列由 Shenzhen…

利用 SMS Swapping 漏洞嚟搶奪帳戶持有權嘅個案，相信發生得非常頻密，只不過今次發生喺 Twitter CEO 身上，仲令到呢個社交平台要暫停 SMS 出 tweet 功能，先至咁受關注咋。 事實上，SMS Swapping 攻擊並唔繁雜，黑客只要透過唔同方法，例如偷走/冒領目標人物嘅 SIM 卡，又或攔截目標人物嘅 SMS 短訊，就有可能搶奪對方嘅登入帳戶。因為唔少公司都會用 SMS 作為申請重設密嗎嘅發送渠道，所以如果掌握到目標人物用嚟登入帳戶嘅名稱，而又做到…

雲端應用雖然已大行其道，不過，不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示，發展成熟的企業當中，只得 27% 認為公共雲（Public Cloud）有足夠的網絡安全功能。而整個亞洲區的企業中，有 73% 受訪者認為資料外洩是無可避免，這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力，可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限，可有效阻止未獲授權的員工接觸重要的文件或作業；不過，如登入帳戶資料被盜取，黑客一樣可以登入雲端應用竊取資料，所以企業亦應考慮採用多重因素認證（Multi-Factor Authentication）機制，例如以 USB、藍牙硬體鎖作為 Security key，員工登入帳戶時必須持有這硬體鎖，這樣即使登入名稱及密碼外洩，黑客亦無法登入帳戶，減少公司機密資料被盜取的風險。 另一方面，雖然公共雲供應商有提供網絡安全措施，但客戶並不能單純依靠對方的防護，因為客戶本身存有分擔責任（shared responsibility），必須採取足夠的手段去保護儲存在雲端的資料，否則亦難以追討賠償。而要確保數據安全，最好便是選用加密技術，例如 tokenisation 或 cyptographic 等工具，將數據亂碼化或以金鑰作保護，即使數據被盜用，或於轉送中褒被攔截，黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段，但在今次調查報告中，企業的採用率都不高，前者少於 50%，後者更少於 20%。隨著全球各地陸續立法管制數據安全，資料外洩已不單只會影響商譽，更有可能為企業帶來災難性的金錢賠償，要避免企業營運陷入困境，由今日開始，就要立即採取措施，守好雲端上的數據。 （article sponsored by Edvance)

研究員剛於 DEF Con 發表報告，指出大量 4G 路由器存在漏洞，黑客可輕鬆遠程突破。其實 5G 都嚟緊，做乜仲集中火力去調查 4G 路由器呢？原因好簡單，研究員話根據過往經驗，好多製造商喺開發新產品時，核心程式碼其實都會同舊產品差唔多，所以如果唔正視問題，呢啲漏洞將會喺 5G 產品上繼續出現，所以唔好以為產品過時就唔使理。 Pen Test Partners 於 DEF Con 發表報告中，指出唔少知名牌子嘅路由器均存有多重漏洞，包括命令注入及遠程代碼執行漏洞，黑客只須編寫含惡意代碼嘅網站，之後就可以靜候有漏洞嘅路由器登入中招。研究員更指出，部分漏洞更容許黑客盜取登入密碼及其他資料，之後就可以盡情截取數據或將連接路由器嘅用戶導向其他虛假網站，非常大鑊。Pen Test…