美國總統 Donald Trump 下令情報機關及五角大廈，於 180 日內交出一切有關不明飛行物體 (UFO) 的報告。大家在這段期間要儲存花生之餘，更要小心防範所有跟這份報告有關的訊息、檔案及連結，否則好奇心害死的下一隻貓，隨時會是你。 上年 12 月美國總統 Donald Trump 簽署新冠肺炎及政府資金法案，當中一項《2021 年情報授權法》內，就規定美國情報機構CIA及五角大廈需於 180 日內，就 UFO 所搜集的資料撰寫報告並提交國會，全球 UFO、外星人協會即時起哄，熱切期待「還我公道」的時刻來臨。即使不是外星迷，相信一般人也會對報告大感興趣。…

疫情下大家都習慣了網上購物，就算以往不熟悉如何網購，現在亦變成格價及集運高手。有大量金錢流轉的地方，黑客又怎會錯過？有網絡安全研究員便發現，黑客正借助網站頁面上的社交平台分享按掣圖標，隱藏惡意軟件的蹤影。只要你在網站上購物，信用卡資料就會同時送到黑客手上！ Credit card skimmer 是一種專門入侵電商網站，再於結帳頁面植入惡意程式盜取客戶信用卡資料的攻擊手法。近年這種攻擊日益猖獗，當中 Magecart 黑客集團更是當中的表表者，不少知名網站如 newegg、Forbes 都曾中招。最近荷蘭網絡安全公司 Sansec 的研究員又發現，credit card skimmer 的入侵方法再度變招，而今次就向網站版面上的社交平台分享按掣圖標落手，同時將惡意軟件的組件拆散，從而繞過電商網站所採用的網絡安全工具的偵測。 研究員指出，黑客今次將部分惡意程式碼植入 SVG 格式的圖標內，而且亦用上 facebook_full、instagram_full 等指令，令整段編碼變得更加可信。只要網頁被瀏覽，惡意程式碼就會執行，並且繼續於網站伺服器的其他位置讀取剩餘的程式碼。研究員認為這種斬件式擺放方法有可能瞞過安全掃描器的偵測，因為即使偵測到其中一部分，也未必會發現其可疑之處。其實之前我們也曾報導黑客利用網站擺放於瀏覽器分頁的小圖標 (favicon) ，將惡意程式碼植入其中，並且將惡意程式碼轉成混浠碼（obfuscated…

就算不是專業球迷，相信都知曼聯自神級領隊費格遜退休之後，一直低沉， 功力再強如莫耶斯、雲高爾或摩連奴都未能引發紅魔本性，現任領隊蘇斯克查接手後，本季聯賽歐聯兩大皆空，球員暗裡質疑主帥領班能力，彼此貌合神離。就在動盪時刻，有黑客再加一腳，早前嘗試入侵曼聯電腦系統，官方發聲明表示：「曼聯確認轄下的電腦系統受到網絡攻擊，球會已即時作出應對，並和專家合作調查事件，會盡可能減少關閉電腦系統後的影響。當時電腦的防禦系統發現受到攻擊，隨即關閉受影響系統，以控制損失和保護數據資料。」聲明沒有透露攻擊手法，但在專家外援協助下，總算抵擋了襲擊，不讓黑客觸碰最寶貴的核心私隱資料。不過，球迷並沒放過揶揄球會的機會，網上留言嘲笑球隊球會貫徹防守漏洞的輸波問題，同時促請球隊管理層效法球會做法，請專業外援解決球隊問題。 黑客發動攻擊翌日，曼聯需在主場迎戰西布朗，幸好球會舉行賽事所需的電腦系統均受到保護，球賽才能如期舉行：「球會對外的網絡渠道沒有受到影響，包括官方網站和應用程式均如常運作，而目前我們尚不清楚球迷和客戶相關的個人資料外洩。不過我們相信奧脫福比賽需要用到的系統仍然安全，對西布朗的賽事將會繼續進行。」 隨著企業擁有更多個人資訊，黑客攻擊對象亦由金融機構等蔓延至體育會，希望借受害者的知名度揚名。曼聯當然不是首個被黑客鎖定的大球會，Information Security Forum 資深分析員 Daniel Norman 提到，黑客視攻擊球會為遊戲，希望藉此成名，所以球迷越多的大球會越危險。今年 2 月 ，西甲班霸巴塞就在歐聯 16 強之際，其 Twitter 帳戶 ＠FCBarcelona 遭黑客騎劫，不停呼籲球會重新招攬巴西國腳尼馬入陣。黑客組織 OurMine…

世上無聊人何其多，就好似一些網上會議服務，除了黑客會企圖潛入竊取機密資料，還有一批人只為了搗亂，而 Zoombombing 就是專門破壞 Zoom 會議的行為統稱。為了阻止搞事者闖入，Zoom 新推出「At-Risk Meeting Notifier」功能，到底有冇效用？ 在社交隔離措施下，不少人都會跟朋友舉辦網上聚會，可能以為聚會同外人無關，所以主持人很少會設定登入限制，而且為求有更多朋友參加，更會在社交平台貼出網上會議的連結。誰不知世界上有一批滋事者，一旦發現這些連結，就會召喚其他「同好」一起踩場，闖入聚會吵罵、發送色情相片，務求會議中斷。雖然認真參加網聚的人不會有什麼實際損失，甚至可另開一個私人聚會，但就浪費不少寶貴時間。美國司法部在今年四月，曾警告會控告這些滋事者，不過阻嚇力明顯不大。 網上會議服務供應商 Zoom 為了阻止這種騷亂，新增一項名為「At-Risk Meeting Notifier」功能，系統會不停掃描各個社交平台或網站，搜尋有否 Zoom 會議的連結，經人工智能分析，例如被多次轉發或貼有跟搗亂有關hash tag，認為有被 Zoombombing 風險，就會向聚會發起人發出電郵，通知對方取消會議，重新建立一個新的會議連結，並設定密碼保護、進入等候區、限制匿名進入等安全功能。Zoom 在網誌上提到，如會議發起人希望保持活動開放，便強烈建議用家將活動改為…

勒索軟件 (Ransomware) 集團恐嚇受害企業交贖金的手段，愈來愈猖狂及無賴，不但開設網站公開部分盜取的資料，最新手法更是入侵無辜人士的社交平台帳戶，再用其帳戶刊登廣告，公開受害企業的私隱外洩詳情；至於廣告費，當然是由後者埋單。 網絡安全網站 KrebsonSecurity 上星期出文，分析最近一宗社交平台帳戶被黑客集團 Ragnar Locker Team 入侵，並盜用帳戶刊登威脅廣告的事件。受害帳戶是一個名為 Hodson Event Entertainment 的 Facebook 專頁，由一位芝加哥的 DJ Chris Hodson 所持有。Ragnar…

資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ Internet of Behaviours…

釣魚電郵大家都有收過，而最近網絡安全公司 Sophos 收到的一封垃圾電郵就頗有趣，因為黑客試圖令收件人相信自己管理的社交平台違反版權守則，並恫嚇會在時限後停止帳戶，迫使帳戶管理人於虛假社交平台登入帳戶。安全專家指黑客在電郵及虛假網站上做足功夫，一心急就會上當。 Sophos 安全專家在博客上提到間中會收到來自社交平台的電郵，指有用戶投訴其專頁使用了違反版權的素材，須管理人親自解釋。專家相信投訴事件非常普遍，所以就令黑客有機可乘，發出偽造電郵令帳戶管理人信以為真，心急點擊電郵內的連結登入帳戶了解詳情及解釋。文章中提及，Sophos 在最近真的收到這類恫嚇信，不過作為網絡安全專家又怎會如此容易受騙？專家指由於他檢查了發信人的電郵地址並非來自 Facebook server，而且英文文法差，即時已確認是釣魚電郵。不過，專家再深入研究電郵內容，發現黑客也在多方面下苦功，提升電郵的可信度。 首先電郵內有一個「Continue」字眼的超連結，如以滑鼠浮標移至上面，的確會顯示連結是指向Facebook網站；原來黑客只是登記了一個專頁，並將版面偽裝成 Facebook 的申訴版權頁面，令社交平台帳戶人信以為真，於是點擊頁面上的https://facebook.com/copyright/xxxxx超連結。造假第二步是這條超連結卻使用了常用的 HTML 編碼欺詐手法，顯示出來的超連結卻與實際指向的網站不符。造假第三招是雖然該版面都有取得 HTTPS 認證，但專家指出該認證只是早幾天前才發出，可合理懷疑其造假成份。一旦管理人被以假亂真，便會直接輸入帳戶登入資料，甚至進一步輸入 2FA 雙重因素驗證碼，最終便會被黑客奪去帳戶。 由於黑客造假都夠專業，所以專家勸籲大家在收到電郵時，一定要多方面確認信件真偽，例如要詳細檢查發信人地址、將浮標指向電郵內的超連結，預覽與目標網址是否一致。另外，他警告即時導向網址屬於官方網址，從上例也可見未必一定為官方所開設，所以如果要登入帳戶，最穩陣還是親手於網址列輸入官網，再登入個人版面查看有否相關內容或訊息，就可減少被騙風險。 資料來源：https://bit.ly/2HKQjF6

資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ 1.Internet of Behaviours…

再親密的人，也不要將自己的社交平台帳戶、訂閱帳戶等等的密碼，全數向身邊的人分享，難保有天分手之後，對方會透過這些途徑，翻出你的私隱，後果可大可小，小則貪圖便宜，繼續享用你的影片或音樂串流平台服務，大則追尋你的行蹤再伏擊你……美國就有一項調查，揭露當地人每四個人便有一人，會透過密碼追蹤前度的實時地點，有三成人更指自己曾在未經對方同意下，至少一次登入對方的帳戶。看到這裏，還不快快換掉密碼，保障自己？ 該項調查由 ExpressVPN 負責，訪問了 1,506 名處於非婚姻的固定交往關係中的成年美國人，以了解他們分享個人社交平台密碼的習慣。當中情侶間最常分享的密碼是影片串流平台帳戶（78%），以 Netflix 的 86% 佔最多；64% 人有分享電子設備的密碼；而 58% 人則有分享音樂串流平台帳戶密碼，更有接近一半人有分享自己的社交平台帳戶密碼，甚至有 38% 人將電郵密碼告知另一半。 調查又披露，70% 人認為分享密碼能展現信任，而千禧一輩及 Z 世代的青少年又比上一輩更願意共享密碼。至於沒有向其他人分享密碼的人，最主要是因為在多個平台上，都採用同一帳戶名稱和密碼。而受訪者最關注的登入資訊隱私分別是電子錢包（72％）、個人電子郵件（68％）和社交媒體帳戶（68％）。 超過三分之二（36％）的受訪者表示，在與他人分享密碼後或分手後，也為曾經共享密碼的舉動感到後悔。儘管當初情到濃時，甚麼都願意向對方分享，但分手後不免會後悔，還不如在冷靜過後，把帳戶密碼順勢更改。定期改密碼除了防範黑客入侵，也防範前度的滋擾，窺探你的隱私。…

千萬不要低估一張相的威力，原來早在今年春季之前，Instagram用家的手機，只要經任何途徑例如電郵、社交平台、即時通訊程式收到一張「加工」相片，不單只可以被奪取帳戶，更可控制你的手機成為監察工具，而且iOS及Android裝置同樣受影響，認真脆弱。 先旨聲明， Facebook 在收到及確認 Check Point 專家 Gal Elbaz 的發現後，已經在今年春季為Instagram推出修補檔案，所以現時大家已不會再因這漏洞遭殃。而出事原因，在於 Instagram 採用的第三方 JPEG 解碼器 Mozjpeg 存有緩衝區溢出（heap buffer overflow）漏洞，當手機相簿內儲存了黑客的特製相片， Instagram 用家又準備上載新相而於…