Microsoft Envision 2022 論壇圓滿結束，吸引逾 600 名企業管理層及創科人才參加。當日邀請了 Microsoft 專家、客戶及合作夥伴分享工業元宇宙、大數據及 AI、網絡安全及可持續發展四大數碼轉型趨勢，包括如何透過科技為傳統業務營運進行革新、運用數據及 AI 創建新營商模式、提升端對端網絡安全防護，以及運用數據及自動化達至可持續發展等。大會更展示合作夥伴解決方案專區以及初創發布會，支持本地初創發展，一齊以科技開創無限可能。 回顧 Microsoft Envision 論壇內容及講者陣容，請瀏覽：aka.ms/envisionhk （資料及圖片來自 Microsoft ）

勒索軟件盛行，成為世界各地機構面臨的最大網絡威脅之一，除了會令數據洩露、盜取外，甚至導致服務中斷。香港生產力促進局引述數據顯示，去年全球勒索軟件攻擊數量按年急升 1.05 倍至 6.2 億次。而根據香港警方數據，今年上半年接獲逾萬宗網絡罪案，較去年升四成，損失金額涉及逾 15 億港元。 而 Microsoft 香港將於其年度「網絡安全研討會」分享網絡安全的趨勢及企業需知的解決方案。 然而，Microsoft 近日公佈第二期網絡威脅季度報告 Cyber Signals，揭示一項新趨勢 — 勒索軟件即服務（ransomware-as-a-service，RaaS），並成一種佔主導地位的攻擊模式。而 RaaS 更令勒索「產業化」，產生多個「專業」角色，如專責販賣網絡流量經紀；即使罪犯並不擁有任何數碼技術專長，均可部署勒索軟件。受到釣魚電子郵件攻擊後，約一小時就能讀取受害者個人資料。 RaaS 產生多個專業角色…

DDoS（分散式阻斷服務）的規模日益龐大，每秒攻擊次數屢創新高，不過一般都只會持續數秒至幾分鐘。不過，網絡安全公司 Imperva 最新為客戶攔截反常 DDoS 攻擊，不單只每秒訪問次數接近現時最高紀錄，持續時間更非常誇張，對企業造成極大危機。 DDoS 攻擊的全名是 Distributed Denial of Service attack，中文稱之為分散式阻斷服務攻擊，通過不同攻擊手段消耗目標網站、連線遊戲或網上應用服務的運算或網絡資源，最終陷入癱瘓狀況。相對於 DoS 攻擊（Denial of Service attack）的單一攻擊來源，發動 DDoS 的攻擊者會利用多個來源，例如最常見的是利用受感染電腦組成的僵屍網絡（botnet）大軍。不過，近年黑客使用先進的放大（Amplification）技術，只須少量僵屍裝置便能製造龐大的無效訪問要求，例如早在 6…

Kaspersky 網絡安全專家發現新的網絡攻擊手法，它主要通過在受害者的 YouTube 頻道上載遊戲推廣短片，引誘對方的粉絲下載多合一功能惡意檔案。有別於其他同類型攻擊，這款全新惡意軟件有自動擴散能力，相信 YouTube 將會愈來愈多這類假宣傳片出現。 防毒軟件公司 Kaspersky 最新捕捉到一種全新的惡意攻擊手法，它的攻擊流程可以分為兩部分。專家指黑客第一步會攻擊 YouTuber，暗中取得其帳戶後，便會借用受害者的身份在其頻道上傳短片，內容主要是推廣連線遊戲如 FIFA、Final Fantasy、Forza Horizon 等遊戲的破解版或作弊程式，引誘頻道的追隨者下載及安裝檔案。事實上，專家指這個檔案卻有如病毒雞尾酒，除了有最有人氣的資料盜竊軟件 RedLine，還有一個挖礦程式，暗中借受害者的電腦賺錢。而為了減少被察覺的風險，專家指黑客利用 Nirsoft NirCmd 工具，隱藏所有執行檔及涉及的彈出式視窗，而且亦不會在桌面或 Taskbar 上留下有任何存在證明。…

密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵，不過，事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情，換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實，就可說是其中一個網絡安全案例正確示範，企業管理者不妨參考一下。 為了保障帳戶的安全性，不少用家都會聽專家之言，起碼會為帳戶採用強密碼，即密碼結合大細楷英文字串、符號、數字，以及密碼至少有 8 個位長度。不過，有調查指現時一般人至少擁有過百過網上服務帳戶，如果密碼要夠長及複雜，而且又要為每個帳戶設立不同密碼組合，相信很少人有能力做到，於是網絡安全專家會建議網民使用密碼管理服務，例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱，但如果密碼管理服務供應商遭受入侵，用家儲存的帳戶資料便有機會一次過被盜取，所以當 LastPass 上月爆出遭入侵事故時，不少用家都相當憂慮，因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告，指出這次黑客雖然成功入侵公司的開發環境，假扮成公司其中一個開發人員並為帳戶通過多重因素驗證，不過，公司卻未有太大損失，原因主要有兩點。 首先，官方指 LastPass 有嚴格控制產品推出流程，即使黑客在這次事件中能假扮 Development Team 員工，但由於產品必須經過…

Windows、Mac 及 Linux 版 Microsoft Team App 被發現存在安全漏洞，一旦電腦被黑客入侵，又或接觸到電腦的人都可盜取相關帳戶登入資料，甚至繞過多重因素驗證 （MFA）登入受害者的 Microsoft Team 帳戶，如受害者是公司高層，黑客便可欺騙其下屬執行轉帳金錢指示，損失難以估計。 意外發現這個 Microsoft Team 漏洞的是網絡安全機構 VECTRA 的安全專家，專家在報告中指出，由於收到客戶投訴，指無法在桌面電腦版 Microsoft Team…

Symantec 網絡安全團隊 Threat Hunter Team 最新捕捉到一項新的網絡間諜行動，專門攻擊亞洲區內涉及宇航、國防、電訊及IT行業的公司。雖然現階段團隊未能確認與哪一個國家級黑客集團有關，但其入侵手法卻值得留意。 由國家支援的黑客集團，一般會以竊取機密為目的，而 Symantec 今次從受害客戶入侵個案中所發現的便屬於此類，專家估計相關攻擊至少在 2021 年初啟動，主要針對亞洲區內的上述行業。專家以發生於今年四月其中一個個案為例，展示黑客入侵手法的精密。 整個攻擊起點，由黑客利用一個由羅馬尼亞軟件公司 Softwin 開發的 BitDefender Crash Handler 防病毒軟件套件開始。黑客利用它的漏洞在公司內部網絡載入一個 .dat檔案，執行其內裡的已加密 Shellcode，從而側載…

一款保持低調的釣魚工具，最近被發現使用了極難被發現的 Browser-in-the-Browser 技術，竊取 Steam 遊戲內進階玩家的帳戶登入資料，由於並非彈出式視窗，因此不會被安全工具攔截，瀏覽器內顯示的訊息亦能製造安全假象，令目標難以察覺。 今年三月，安全研究員 mr.dox 開發了一套高性能釣魚工具，並示範了如何透過這個工具竊取 Steam、Microsoft、Google 帳戶登入資料的可行性。在相隔多月後，網絡安全公司 Group-IB 便發表了新報告，顯示利用這種技術竊取 Steam 玩家帳戶資料的方法正大行其道，而部分被竊取的高階玩家帳戶，其價值更由 10 萬美元至 30 萬美元，可見黑客憑藉這項釣魚工具的收入相當可觀。 Group-IB 專家指出，這款新的釣魚工具未有在暗網或地下討論區大肆宣傳，黑客戶而通過…

雖然近年即時通訊 app 的選擇增多，不過，Meta 旗下的 WhatsApp 在用家數量方面始終佔有優勢，因此自然有較多騙徒利用來犯案。網絡安全公司 Cygenta 專家早前便列舉三種熱門詐騙手法，大家不妨同朋友分享，減少被騙機會。 扮熟陷阱：騙徒會假扮成目標的家人或愛人，聲稱因為遺失了電話而暫時用新號碼開設帳戶，經過一輪溝通搏取目標信任後，就會慌稱自己有金錢需要，說服目標轉帳金錢。雖然聽落好似好離譜，不過實際上並不罕有，例如假扮成目標的上司要求買點數卡的案例，就經常發生。 雙重驗證陷阱：為了保障帳戶安全，不少 WhatsApp 用家都啟動了 2FA 雙重驗證功能，登入時必須額外輸入經 SMS 發送的驗證碼，才能登入帳戶。不過，有騙徒在奪取了其中一個 WhatsApp 帳戶後，便會讀取受害者的聯絡人清單資料尋找下一目標，然後利用對方顯示的手提號碼重新登記帳戶，並以「朋友」身份向目標發送訊息，指錯誤將2FA驗證碼發送到對方帳戶，騙取目標提供驗證碼，從而奪取帳戶並重複犯案手法。 限時陷阱：騙徒會向特定目標或漁翁撒網式發出訊息，利用不同藉口引誘對方點擊連結或通過連結安裝惡意軟件。視乎當時社會熱門話題，魚餌或有差別，例如早兩年新冠疫情剛爆發，騙徒會發出感染 COVID-19…

黑客組織 Anonymous 又有新搞作，上星期承認向俄羅斯 call 的士 app Yandex Taxi 發動攻擊，並成功控制加盟的士駛往莫斯科西部一間著名的酒店區域，導致該區出現嚴重交通擠塞。隨著愈來愈多汽車及導航系統上網，這類攻擊更加不可忽視！ 全球最大黑客組織 Anonymous 是一個有政治共識的黑客社群，他們會為了一些不公平的現象，又或捍衛網絡自由，向目標政府組織或機構發動各種網絡攻擊，最新行動便是由今年 2 月俄羅斯入侵烏克蘭開始，持續向俄羅斯不同政府部門、電視台等發動攻擊，改寫其網站內容，又或以 DDoS 攻擊癱瘓各種服務。Anonymous 曾提及這些攻擊主要目標是俄羅斯政府，但不可避免地會影響到市民的生活，希望俄羅斯市民諒解，體諒他們只希望世界和平而向獨裁者發動攻擊。 而就在 9 月…