外國有研究指出，Google Play 上大約有 17,000 個 app，過份收集用家嘅永久識別碼，包括無法更改嘅IMEI裝置序號、難以更改嘅 Android ID，有可能違反咗 Google 嘅廣告資訊收集政策，亦令到手機用家無法有效消除自己嘅網上足迹，其中包括大受歡迎嘅 Clean Master、Flipboard、Angry Birds Classic 等等。 其實用瀏覽器上網或用手機 app，好多時大家都會發現入面嘅內嵌式廣告同自己好有關係，例如自己爬緊旅遊文，好快呢啲廣告就會變成平價機票、酒店格價網等資訊。咁貼身嘅設計，全因廣告公司採用「行為廣告」（behavioral advertising）模式，通過收集用家平時上網關注嘅內容，再push返對應嘅廣告內容俾客戶，既幫到廣告商接觸目標客戶群，消費者亦攞到比較有興趣嘅廣告資訊，本來真係可以話Win Win。 隨住社會人士開始注重私隱問題，用家擔心洩露以上嘅身份證明有潛在風險，因為…

小米米家電動滑板車以「自由穿行，一路美景」、「簡約幾何設計，1 分鐘輕鬆上手」、「30 公里超長續航」、「雙重剎車系統」、「便攜折疊」為賣點，售價 1,999 人仔，非常吸引。這款平靚正電動滑板車亦廣受用家愛戴，國內外米粉以此自由穿行，一路美景。 不過，《The Hacker News》收到手機安全公司 Zimperium 的報告，發現小米米家電動滑板車 M365 存漏洞，可讓黑客輕易控制電動滑板車，危害駕駛者性命。 隨 M365 電動滑板車使用的手機程式「智能管家」可以通過藍芽連接，化為儀表板，對當前騎行速度、剩餘電量等進行實時查看，對滑板車進行固件升級。手機程式亦可設定密碼、反偷車，更可發出指令，匹配設定的速度，作定速巡航。 「智能管家」可以通過藍芽連接電動滑板車，化為儀表板。 不過，研究員發現密碼設定只在手機程式端有效，而滑板車端並不作憑證狀態追蹤。如電動滑板車密碼設定不當，可讓黑客於 100 米範圍以藍芽發出未受權的指令。如黑客心懷不軌，可以發出非常危險的指令，令電動滑板車突然鎖車、加速、剎車，亦可載入惡意程式完全控制電動滑板車。 Zimperium…

資安產品評級網站 Comparitech 比較全球 60 個國家，並將日本評為全球最安全，阿爾及利亞則被評為最危險。 Comparitech 以下列七項作評分，分別是： 手機被惡意軟件感染百份比電腦被惡意軟件感染百份比金融惡意軟件攻擊數目Telnet Attacks 攻擊百份比（以發動國家計）Cryptominer 攻擊百份比網絡攻擊準備程度網絡安全立法更新程度 首 5 項以 2018 年內事故計算，而準備程度則以 Global Cybersecurity Index (GCI)…

駭客攻擊固然可惡，但人為的低級錯誤也本應可以避免，預防爆發一些顯而易見的危機。面對外憂內患，企業又應該如何做好資料保護措施，保障用戶個資免受駭客盜取，同時保全公司免觸犯 GDPR 而被開罰？ 一、定期更新軟體 最基本的就是定期更新軟體。駭客技術雖然日新月異，但 antivirus（防護軟體）或其他軟體同樣與時並進。每次韌體更新除了一般除錯外，也有很多是為了填補已存在的資安漏洞或防禦新型病毒而進行的。 二、加入多重身份認證或生物認證 Broken authentication 是網路資安問題的第二大主因，而要做好身份認證這一步驟，除了傳統輸入密碼以外，現時已經有很多加強保安的驗證方式，比如雙重認證 (Two-factor Authentication, 2FA) 讓用戶輸入密碼後需要加上第二重認證步驟，常見的工具有： TOTP (Time-Based One Time Password)：透過時間因素產生不一樣的一次性密碼，像是 Google…

最近看到網絡媒體報道有一個知名國產電子產品製造商，所開發的一個應用程式，會過度收集手機使用者個人資料， 據報自 2016 年 12 月發佈以來，已在谷歌商店上被下載逾 1,000 萬次。 其實電話程式出現係幫助電話使用者獲得更理想嘅使用體驗，而收集一些輔助性資料以作出更貼身的資訊服務配套，是再好不過的事情。 但魔鬼的細節就此出現了，因為使用該有關程式而收集到的個人資訊，是否單純作為其所聲稱的唯一用途，卻是無從確實。因為由資料被收集的那一刻（可能你也沒有察覺，有關程式何時開始收集及哪些資料正在被收集），到資料被作相關用途之後，資料被存放到哪裡？會存放多久？哪些人可以取存？多久之後會被刪除？期間有關資料是否有合理的保護（如加密）？相關資料是否以安全的方式被傳送？這一切一切都是我們需要知道及有權利知道的重點，否則盲目允許這些程式收集個人資訊，就等於將這些資料無條件雙手奉上予不知名的人士或機構。 套用香港借貸廣告中的標語 — 咪比料中介。手機程式可能只係中介，將你嘅資料轉發畀第三方，從而獲得金錢或其他利益。

DEF CON ’18 邀請了一班小朋友參加比賽：攻進一個複製的選舉結果網站，最後由一位 11 歲小朋友於 10 分鐘內成功攻入。除了顯示今日的網絡安全問題，亦提醒大家，別小看小朋友的能力。曾經有個 List 大數著名的兒童黑客，今日大家重溫一下： Reuben Paul 網絡安全界神童 Reuben Paul 現年 13 歲，是一位白帽黑客，其身份包括網絡保安大使、兒童黑客、最年輕少林功夫黑帶、體操運動員、Video-gamer、網絡忍者及 CyberShaolin 創辦人。Reuben…

新加坡航空於其 Facebook 發帖，警告客戶小心詐騙網頁利用 WhatsApp 訊息，聲稱贈送免費機票，實為惡意網站以套取個人資料。 該訊息假扮新加坡航空公司，以慶祝其周年紀念為名，向客戶進行問卷調查，客戶只需完成問卷並各親友分享訊息，即有機會贏取免費機票。 心水清嘅讀者，一睇就知唔對路。好明顯，用戶 Click 入「Claim Tickets」或 「WhatsApp」，就會引導去一個釣魚網站，目的就係套取用戶個人資料及信用卡資料。暫時知道此訊息只於 WhatsApp 流傳並只於手機瀏覽器運作，現時該釣魚網站已停止運作。新加坡航空呼籲客戶小心提防類似訊息。如發現同類詐騙訊息，可到以下網站舉報：http://singaporeair.com/en_UK/feedback-enquiry/ 此類惡意訊息老是常出現，經典例子莫過於 adidas 送波鞋。迎排國泰航空經常擺烏龍賣平價頭等機票，如果被不法份子利用作惡意訊息，肯定好多人中招。各位務必謹慎小心，光棍佬教仔，便宜莫貪。 資料來源：http://bit.ly/2sufW2k

在 2019 年消費性展覽 CES 上，實體安全金鑰開發商 Yubico 首度推出支援 iPhone 的新款金鑰 YubiKey，iPhone 用戶密碼安全保護從此多一種選擇。 其實實體金鑰的原理就同普通屋企鎖匙一樣，只不過將網上帳戶密碼轉換成物理鎖匙。用戶使用時，要先在支援該功能的網站註冊一個「瑣頭」，從此登入該網站，就只需將安全金鑰插入電腦或手機設備便可「開鎖」，無需再輸入密碼。因為需要用到物理鎖匙，安全度便可大大增加，對於堅持使用弱雞密碼「123456」的懶人嚟講，可話一大恩物。 Yubico 為目前市面上較多人使用的金鑰品牌，好長一段時間，該公司僅面向 PC、Mac 及其它移動設備。如今推出 YubiKey for lightning，已獲得 Apple…

「Hacker 不一定要穿 hoodie，不一定在漆黑中、電腦前不停打 code 的。」卡片上職位是 Senior Associate，其實就是 Ethical Hacker，Monie Sum 專程化個靚妝再襯條裙來做訪問，希望一洗大眾印象，包括自己親朋。「我也解釋了很多次，但總有家人及朋友不太明白甚麼是 Ethical Hacker。」大眾聽見「黑客／Hacker」聞風喪膽，而其實呢，Ethical Hacker 是專業人仕，PwC 就有幾十個，可以在中環 Big Four 會計師樓返工，團隊三份一是女生，更率先享受「靈活工作」計劃，彈性工作時間、衣著、地點，加上市場求才若渴，絕對是職場新貴。 「成黑之路」從「多手」開始…

今年元旦日發生第一宗懷疑電腦網絡被攻擊的事件。1 月 1 號，銅鑼灣宜家傢俬電視遭受到惡意干擾，事件中，有關分店門口電視突然播出男性下體裸露片段。據報，當時有顧客向職員投訴，但職員不以為意，其後先發覺事態嚴重，立即用紙將螢幕包住（其實點解唔熄咗個電視？）。 店方仍在研究事件，個人認為有關電視內容如屬第三方供應，則有關源頭可能被人刻意攔截，並加插相關裸露片段。如屬店方自行提供，則有關店舖的網絡（或無線網絡）可能受到入侵，並更改了播放嘅內容，由於一般有關店舖電視播放的內容都是固定不斷循環，所以職員通常都不加理會。若果有關電視內容不是由網路提供，例如直接連接 DVD 輸入，則可能有關智能電視的遙控功能並未好好保護，讓有心人能夠用相同遙控改變電視連接網絡設定或利用如「同步播放」等功能從手機直接將影訊播放到電視。 可見現在針對各類型資訊播放或顯示的安排，若果未能從安全角度好好考慮，都有一定的挑戰與風險。