隨著 5G 及 Wi-Fi 6 新一代流動通訊及無線網絡制式上馬，突破了從前的傳輸速度及頻寬的限制；更被視為推動第四代工業革命開展的核心一環，有利於物聯網（Internet of Things, IoT）技術應用及發展，使利益隨時獲利倍翻。現時對IoT裝置缺乏統一的規格及監管，部分生產商為了搶銷量降成本，退而求其次地犧牲網絡安全性，卻令 IoT裝置安全漏洞百出。企業要借助IoT拓展業務就不能過於大意，否則便有如大開中門，「邀請」黑客隨意出入。 物聯網普及 提升自動化及數據分析 IoT的應用層面非常廣泛，例如網絡監控鏡頭、溫度及濕度感應器、防漏水感應器、智能門鎖、電力監測系統、智能燈光系統等，最大優點是可讓作業自動化完成，減少人力成本。此外，IoT 應用亦逐漸與傳統的 IT 系統結合，包括操作型科技系統 (Operation Technology, OT）、工業控制系統（Industrial Control…

早前日本三菱電機（Mitsubishi Electric）公布，上年 6 月內部網絡被黑客入侵，竊取咗約 200MB 數據，雖然佢哋無特別講明係乜嘢原因，但外國科技網站 ZDNet 就收到線報，指出事發原因係，同防毒軟件供應商 Trend Micro 旗下嘅 OfficeScan 掃毒工具嘅零日漏洞有關！ 三菱電機被竊取嘅 200MB 數據入面，包括咗接近二千個職位申請記錄、一份有四千幾個員工參與嘅 2012 年問卷調查、千五個退休員工資料，以及關於技術同銷售數據嘅機密資料，內容都可以話幾廣泛。官方雖然無透露太多詳細內容，但日本傳媒就查證到入侵事件首先發生喺三菱電機喺中國嘅子公司上，之後再擴散去其他 14 個部門。好在有員工發現公司伺服器內突然出現可疑嘅檔案，先至揭發呢次入侵事件。日媒仲指出黑客屬於中國國家級組織…

Microsoft 已經停止支援 Windows 7，搞到唔少用家都趕喺最後機會免費升上 Windows 10。不過，Windows 10 都唔係安全好多，因為剛啱又俾人發現，系統內其中一個用咗十幾年嘅 CryptoAPI 存有漏洞，可以俾黑客利用嚟假扮已獲數碼簽證嘅軟件，繞過電腦嘅網絡防護功能，從而喺目標電腦上安裝惡意程式。如果大家仲記得，上年 ASUS 就因為俾黑客偷咗數碼證書，令黑客可以將有毒嘅更新檔放上 ASUS 自動更新軟件褲，再推送出去俾過百萬用家。另外，亦有大學專家漏洞可被利用嚟攔截及修改 HTTPS 嘅通訊，將受害者引導去虛假網站偷取資料，影響力非常之大。 不過，升級上 Windows 10 始終有保障，因為…

唔少人都鍾意玩「抖音」（TikTok），特別係後生仔女，時不時都會拍片上傳。不過，早排多個美軍部隊就指出抖音存在嚴重保安漏洞，禁止士兵喺軍用手機上安裝使用。到底有乜咁嚴重呢？謎題終於開估喇。 以色列網絡安全服務供應商Check Point 嘅專家，早兩日就發表研究報告，指出佢哋原來喺上年 11 月，已經就抖音嘅安全漏洞，去信佢哋嘅母公司 ByteDance。專家發現只要通過假扮抖音向用家發送內含惡意連結嘅短訊，一旦用家唔小心開啟，黑客就可以通過漏洞嚟控制用家嘅帳戶，代用家發布及刪除短片、公開用家嘅私人短片，甚至攞到用家登記嘅電郵地址等等。唔單只手機 app 有漏洞，就連抖音嘅網站亦唔安全，其中一個搜尋欄位可以俾黑客插入惡意程式碼，發動 Cross-site Scripting 攻擊，從而去盜取其他用戶嘅登入資料。 Check Point 專家將漏洞報告交咗俾抖音後，抖音嘅網絡安全部門即刻修補，並喺 12 月中推出嘅更新版中，將漏洞全部堵塞。佢哋嘅安全部門主管 Luke Deshotels 事後就多謝…

近年隨住物聯網興起，大家都關心多咗運營技術（Operational Technology，簡稱OT）嘅保安風險，事關以前一間公司入面，運營同IT可以分得好開，但自從有咗物聯網技術，就連運營部分都要連上網，從而分析當中嘅運營數據嚟節省成本，或者用數據嚟開發創新應用，最近Ponemon Institute同西門子就做咗份調研，大部分受訪者都話擔心OT嘅保安多過IT嘅保安，因為目前市場上都未有完備嘅方案，可以完全擋住OT方面嘅攻擊。 上星期就有個好消息，就係好叻做漏洞風險管理嘅Tenable，宣布成功收購咗Indegy，可能香港讀者唔係好熟Indegy呢間公司，其實佢係一間工業網絡安全系統供應商，曾經被以色列《福布斯》評為10大最有前途嘅網絡安全初創，佢有一套自行研發嘅系統，幾乎覆蓋所有OT嘅重要基礎設施，而且可以實時監測所有工業控制配置嘅變化，無論係有外來攻擊，甚至係有員工有意無意搞亂個操作，系統都會感應到，即時發出警報，確保運營安全。 本身做開漏洞風險管理嘅Tenable，就應該多啲人聽過喇，好多人都知佢最初成立時，係幫美國政府機構提供軍事級網絡保安設備，後來先將軍事級保安技術推向商業機構層面，去年7月喺美國上市，兩個星期就升咗三成幾，市值超過27億美金，係美國少數達「」級別嘅網絡保安公司，佢最勁嘅產品係Nessus，透過連續性監察，自動執行補救措施，縮減系統暴露於風險嘅時間。而家佢加埋Indegy嘅技術，就可以照顧晒OT同埋IT兩邊嘅攻擊。

Facebook 早兩星期先向以色列公司 NSO Group 提出起訴，指佢哋非法利用 WhatsApp 漏洞去竊取用家私隱。話口未完，早幾日 Facebook 公布叫用家更新 WhatsApp，用嚟修復另一個漏洞，只要用家開啟咗一個惡意 MP4 檔案，就有可能俾黑客入侵，發動阻斷式服務或遙距執行程式碼等攻擊。唔知你呢排有無收同開過可疑嘅 MP4 檔案呢？ 今次 WhatsApp 被利用嘅漏洞，屬於堆疊緩衝區溢位（stack-based buffer overflow），當 WhatsApp…

日本機械人酒店 ヘンナホテル（Henna Hotel），早前被發現客房內嘅機械人助理存在漏洞，好明顯係因為營運者為咗方便客人使用，無好清楚咁試用過，結果反而害咗人哋啦，各位營運者真係要考慮清楚每項功能，會唔會存在網絡安全漏洞先好用呀！ 2015 年開業嘅 ヘンナホテル，係由母公司 H.I.S. 集團主導嘅主題酒店項目。酒店最大嘅特色，就係由前台接待、check in、搬行李，一概由機械人包辦，大大減省咗人力成本。對客人嚟講，有無人接待唔緊要，最緊要係可以喺社交平台打卡，同埋機械人唔好太蠢就得。 今次嘅漏洞係由網絡安全工程師 Lance R. Vick 所發現，Lance 入住期間發現床邊有部 Tapia 機械人，只要用手機經 NFC 同 Tapia 配對，安裝咗一個第三方應用程式，之後就可以無線串流播放音樂，或透過佢嚟視像對話。用 NFC…

根據全球市場調查公司 TrendForce 嘅報告顯示，HP 喺手提電腦市場上已經連續 13 季取得銷量冠軍，每季都賣出接近一千萬部 notebook，成績非常驕人。不過，當發現原來跟機預裝軟件竟然存在嚴重漏洞，就即係話愈多人中咗招，唔知會唔會影響下季銷量呢？ SafeBreach Labs 嘅安全專家 Peleg Hadar 發現，一款預裝喺 HP 電腦同手提電腦嘅軟件——HP Touchpoint Analytics，有漏洞可以俾黑客提升管理權限，進而下載惡意程式控制電腦系統。由於 HP Touchpoint Analytics…

今次受影響嘅 Android 手機相當之多，而且有證據顯示該漏洞已經被黑客利用，真係發動咗攻擊，各位務必留意。 日前，Google 安全研究團隊 Project Zero 研究員 Maddie Stone發現，一項高嚴重性安全漏洞（CVE-2019-2215），屬於Android內核嘅資料夾驅動程序內存在釋放後使用（use-after-free）漏洞，配合另一個 Chrome 漏洞，可容許黑客越過沙盒，提升 Root 訪問權限並取得裝置控制權。呢個漏洞影響之廣，遍及十多款 Android 手機，Google 親生仔 Pixel 系列亦榜上有名，其他仲包括 Google、三星、華為、OPPO、小米、Moto…

PDF 係大家常用嘅文件檔，如果內容包含機密或敏感資訊，都會 set password 保護。但黑客而家有方法修改呢啲檔案，令到擁有解鎖密碼嘅人喺打開檔案嘅同時，傳送多一份解鎖內容俾黑客，做咗解鎖佬都唔知！ 用嚟加密 PDF 檔案嘅密碼演算法，本身其實好安全，不過喺整個 PDF 檔案嘅設計上就有破綻出現。一班歐洲網絡安全研究員，指出 PDF 檔案其中一個漏洞係檔案只會半加密，字串內容係受到保護，但檔案嘅結構就無加密可以讀取，所以黑客可以篡改結構內容，將惡意程式注入其中，當檔案被合法打開，就會暗中將內容傳送俾黑客；另一漏洞就係 CBC（Cipher Block Chaining）加密模式，由於本身缺乏一致性嘅驗證，令到黑客可以修改特定區塊內容而唔影響解鎖程序，於是黑客就可以加入惡意程式，暗中盜取檔案內容。兩個漏洞都可達到唔使知密碼，一樣睇到加密 PDF 嘅目的。 呢個被稱為 PDFex 嘅漏洞，經研究員測試後，發現喺…