勒索軟件 (Ransomware) 集團恐嚇受害企業交贖金的手段，愈來愈猖狂及無賴，不但開設網站公開部分盜取的資料，最新手法更是入侵無辜人士的社交平台帳戶，再用其帳戶刊登廣告，公開受害企業的私隱外洩詳情；至於廣告費，當然是由後者埋單。 網絡安全網站 KrebsonSecurity 上星期出文，分析最近一宗社交平台帳戶被黑客集團 Ragnar Locker Team 入侵，並盜用帳戶刊登威脅廣告的事件。受害帳戶是一個名為 Hodson Event Entertainment 的 Facebook 專頁，由一位芝加哥的 DJ Chris Hodson 所持有。Ragnar…

不少網購平台就會採用 Magento 電子商務系統，貪其功能強大，接受的電子支付多樣化。不過，網絡安全公司 RiskIQ 最新發表的報告就指出，超過 2,800 間仍採用舊版本 Magento 的網購平台，正被 Magecart 黑客集團入侵，可盜取客戶輸入的信用卡詳細資料，呼籲用戶立即更新系統！ 今次發現的漏洞名為 Cardbleed，早於今年 9 月已被網絡安全公司 Sansec 所發現。當時 Sansec 指出，Magento 1.x…

香港生產力促進局聯同轄下香港電腦保安事故協調中心（HKCERT）今年首次舉辦的「香港網絡保安新生代奪旗挑戰賽 2020」早前完滿結束並舉行分奬典禮，嘉許本地中學和大專院校學生運用創意思維解決問題，從中學習網絡保安知識的傑出表現。 「香港網絡保安新生代奪旗挑戰賽 2020」以隊制形式進行，分為中學組及大專組兩個組別，每組別均設有金、銀、銅獎。每間學校不設參賽隊伍上限，派出最多參賽隊伍的中學更可獲頒「最積極參與學校獎」。中學組及大專組金獎分別由來自迦密中學和香港科技大學的隊伍奪得，聖母無玷聖心書院則奪得「最積極參與學校獎」。 香港網絡保安新生代奪旗挑戰賽2020 得獎名單 是次比賽吸引了 37 間中學和 19 間大專院校，派出總共 156 隊參賽隊伍，接近 540 名學生參加。比賽以「解題」形式進行，參加隊伍需於 48 小時內運用創意思考，透過搜尋、研究、使用不同的工具和編寫程式，反覆試驗以拆解超過 40 題挑戰以獲取分數。由於題目得分會隨著成功解題隊伍數目增加而遞減，因此戰況十分激烈，亦促使參賽隊伍挑戰高難度的題目。 生產力局首席數碼總監黎少斌先生表示：「生產力局聯同…

物聯網（Internet of Things, IoT）的保安漏洞一直為人詬病，經常傳出黑客借已連結物聯網的智能家電，入侵網絡，甚至在企業未為意間，打開其網絡安全缺口！但也不用太擔心，最近歐盟網絡資訊安全局（The European Union Agency for Cybersecurity, 下簡稱ENISA）推出 IoT 產品開發指引，供大家參考如何確保網絡安全。 由 ENISA 所定的指引 Guidelines for Securing the IoT –…

釣魚手法層出不窮！近日網絡安全公司 WMC Global 的研究人員發現，Office 365 出現新式釣魚方法，以反轉圖作為登陸頁面背景，避過被網絡安全監控標籤為惡意釣魚網站，真係要小心提防！ WMC Global 的研究人員指出，這個釣魚套件技術，是為盜取儲存在 Office 365 的機密資料而寫成，並已被運用在多個網站中；而這個套件自動以 CSS （Cascading Style Sheets）方式，轉換成只是反轉了顏色、貌似正規 Office 365 登陸頁面的背景圖，企圖逃過監控。WMC Global…

中國一年一度的黑客破解大賽「天府杯」剛於上星期六、日舉行，15 支參賽隊伍合共破解 13 款知名電腦產品及應用服務，包括 iOS 14、Samsung Galaxy S20、Windows 10、Chrome、VMWare EXSi、TP-Link 及 ASUS router 等等。冠軍由奇虎 360 政企安全漏洞研究院奪得，共取得大賽的 2/3 獎金，即約 74 萬美元，連續三年稱霸賽事！…

香港電腦保安事故協調中心（HKCERT）和香港生產力促進局（生產力局）合辦首屆 「香港網絡保安新生代奪旗挑戰賽2020」，比賽將於今日下午六時開始至 11 月 8 日下午六時，比賽旨在提升大專及中學生對網絡保安的興趣，鼓勵他們透過團隊合作，以創意思維及網絡保安技巧來解決問題。 網上比賽系統會 48 小時運作，參賽者可於任何比賽時段登入作賽；比賽共有 81 隊中學組隊伍，以及 75 隊大專組隊伍、當中包括 16 隊跨院校隊伍，參與人數共 538 人。題目環繞 Binary Exploitation、Cryptography、Forensics、Reverse Engineering、Web…

網絡安全公司 ESET 警告，現時網絡上仍有約十萬部 Windows 10 電腦存在 SMBGhost 漏洞，最令人驚訝的是其實 Microsoft 早在今年三月，已推出修補軟體並大肆提醒用家更新…… 仍未更新者，真的視黑客如無物？ SMBGhost (Server Message Block) 的漏洞編號為 CVE-2020-0796，它可讓黑客透過緩存溢出 (buffer overflow) 手法，遠程執行任意程式碼，打通入侵電腦的管道。由於危險程度極高，所以其…

雖說人人都知疫情期間網絡攻擊亦趁機增加，覷準遙距工作的保安漏洞，肆虐橫行，但實際情況有好多嚇人，且看防毒軟件巨頭 McAfee 公布的報告，披露在今年第二季，每分鐘能偵測到平均達419個新的網絡威脅，而新惡意軟件的樣本，在這段時間增長了11.5％，當中以 PowerShell 惡意軟件及以 COVID-19 為主題的攻擊佔大多數。 由於惡意 Donoff Microsoft Office 檔案攻擊激增，而令新的 PowerShell 惡意軟件增加 117％，而因應新冠疫情的全球影響，網絡犯罪分子亦趨向以 COVID-19 為主題，欺騙在家工作的受害者。McAfee 首席科學家 Raj Samani…

一場疫症，令大部分香港企業被迫急著數碼轉型，同時黑客亦覷準機會，大舉進攻港企網絡，當中不乏巨型企業中招，暴露了潛藏已久的企業網絡安全意識嚴重不足問題。PwC 網絡安全及私隱保護服務合夥人及 Dark Lab 創辦人顏國定透露，香港近期的網絡攻擊事件大幅上升約十倍。他分析情況指，港企的資安水平落後世界先進地方最少 5 年，主因沿於長久以來，香港社會針對網絡攻擊事件的透明度不足，造成企業以至大眾對網絡安全失去危機感。他認為，現時的監管機制只靠企業自願性披露，情況恐難改善。 香港網絡攻擊升十倍　勒索攻擊明顯進化 顏國定表示，在疫症爆發之前，經他團隊處理的本地網絡攻擊事故，一年平均約四十多宗。但疫症爆發至今，處理事故宗數大幅上升至幾乎一日一至兩宗，按此比例計算，升幅達十倍，而且黑客的攻擊手段亦越見高明。顏以勒索攻擊為例，以往黑客成功駭進企業系統，會短時間引爆病毒，癱瘓並鎖死企業系統，然後直接要求企業支付贖金，攻擊是一次性的。現在，黑客會先潛伏企業系統內一段時間（以香港情況，潛伏期大概一個月），期間黑客會偷偷在系統裝上電腦病毒及後門程式，並且盡量搜集企業的機密資料及客戶資料，之後等待適當時機，黑客就會「唧牙膏」式地攻擊，例如突然在社交媒體把企業的機密資料到處洩漏，並要求企業支付贖金；如果企業拒絕，黑客就會在對方疲於尋找解決方法時，再突然洩漏更多資料，甚至鎖死企業系統。這種持續性的攻擊，比起舊有模式，對企業造成更大恐慌和困擾，因為企業無法得知還有幾多機密資料和客戶私隱會被突然洩漏，相對地受害人就會更容易支付贖金。 長期認知不足　港企資安水平落後 顏國定亦指出，雖然香港企業在近期的數碼轉型風潮下，確實增加投放資源在網絡安全之上，但卻流於「買最貴的系統，但買回來後，從不善用」的層次，令到保安系統即使升級，仍未能發揮應有作用，有些大公司甚至連最基本的 MFA (多重認證）都未有實施。顏形容，港企的網絡安全水平落後世界先進國家五年，主要原因是社會對網絡安全意識長期不足，由市民大眾到公司企業，都不知道網絡攻擊的嚴重性，「連 MFA 這些低成本又有效的保安措施都嫌麻煩」。由於缺乏意識，因此由資訊安全的人材培訓，以至保安系統升級，都被長期忽視，結果現在急於數碼轉型的情況下，企業網絡保安錯漏百出，淪為黑客攻擊目標，「黑客其實都是漁翁撒網式在世界各地找獵物，所以哪裏防禦措施薄弱，哪裏就會成為黑客的天堂。」 監管靠自願披露　透明度不足恐難改善 針對社會整體對網絡安全意低下問題，顏國定認為，核心在於網絡攻擊事故的「披露（Disclosure）」不足，「香港現時的資安教育，很多時候是要求市民大眾『自己小心啲』，但人性在缺乏危機感下，必然會粗心大意。因此最有效的教育是增加危機感。」顏解釋，香港現時主要靠《個人資料（私隱）條例》要求企業自願性披露網絡攻擊事故，但由於欠缺約束力，企業為保聲譽，都會盡量低調處理，結果網絡攻擊事故鮮被曝光，社會大眾一直誤以為「風平浪靜」，自然不懂得去重視問題。他建議，政府可以借鏡先進國家，立法要求企業必須主動披露網絡攻擊事故，並為企業網絡安全措施要求，訂立清晰標準，以有效提高資訊透明度。「只有建立在有力的法律基礎上，企業才有不能迴避的責任，去披露資安問題的實際情況。當資訊的透明度有所提高，公眾認清事實，大家才會從日常生活中感受到網絡攻擊的嚴重性。於這樣的社會氣氛下，我們才能談得上以教育提高大眾以至企業的網絡安全意識。」