電郵安全公司劍達（香港）有限公司發表 2021 年第三季度的電郵威脅指數 Green Radar Email Threat Index。第三季指數顯示為 64.6 分（上季為 63 分），反映企業面臨的電郵威脅風險維持於高水平而且有所增加。根據分析，第三季最常見的電郵威脅包括網絡釣魚和商業電郵詐騙攻擊，風險級別水平為「高」，其中商業電郵詐騙攻擊在今季上升趨勢持續，情況不容忽視。 報告又發現，黑客多將釣魚鏈接嵌入電郵附件內以嘗試繞過偵測；而假網站愈見難以識別，已普遍利用 SSL 證書和 reCAPTCHA 以騙取信任，部分攻擊更特別針對本港企業。 Green Radar 發表…

疫情期間催化黑客攻擊，其中國家級黑客的威力更不容小覷。Google 公布目前為止，已向其用戶就有國家資助（State-sponsored）的黑客攻擊發出 50,000 次警告，相比 2020 同期增加 33%。Google 提醒用戶啟用多重因素身份驗證功能，以保護帳戶。 Google 安全工程師和威脅分析組織 (Threat Analysis Group, TAG) 團隊成員 Ajax Bash 在博客指，發出多次警告的原因，是因為阻止了一個名為 APT28 或…

勒索軟件集團都會顧及形象，避免因入侵事件導致人命損失而被社會指責，所以都盡量避開醫療機構。不過業界總有害群之馬，一份最新公開的醫療機構問卷調查，就有五分一受訪者指勒索軟件攻擊的確導致死亡個案上升…… 去年九月，德國一間醫院因受到勒索軟件攻擊而陷入癱瘓，一個原本可於醫院接受治療的病人，便必須送往其他醫院接受治療，可惜最後病人在轉移過程中死亡，成為首宗勒索軟件奪命事件。報導刊出後，即惹來社會各方指責，部分勒索軟件集團聞到火藥味，擔心執法機關會因此而重點打擊，因此均宣布將醫療機構劃出攻擊名單，就算在刊登合作人招聘廣告時，也列明不會攻擊醫療機構，企圖明哲保身。 不過，利字當頭，始終有勒索軟件集團會不顧風險。為了解醫療業界實況，The Ponemon Institute think tank 及網絡安全公司 Ceninet 便在早前進行問卷調查，訪問了 597 個於醫療業工作的 IT 及網絡安全專家，查看情況有多嚴重。部分重點歸納如下： 約 36% 受訪者表示患者在接受治療後的併發症機率增加十分之七受訪者表示測試結果及檢查程序因延後而令結果受影響約七成表示病人因勒索軟件攻擊而延長住院時間五分一表示醫院受襲後，病人的死亡個案有所提升 既然勒索軟件或其他網絡攻擊的後果可導致人命損亡，安全專家認為醫療機構應重新審視安全工作，雖然了解資源有限，但也應撥出更多資源去強化防禦力。而一些基本的安全工作如保持軟硬件在最新版本、攔截釣魚電郵攻擊，以及為員工提供安全培訓，更應不可疏忽，因為除了人命之外，醫療機構亦保存大量病人的個人私隱，一旦外洩，有可能導致病人二次受傷。 資料來源：https://zd.net/3FhivsI

企業將系統及數據搬上雲端已是常態，但當中的管理及分析、網絡及數據隱私安全，亦成為「系統搬家」的一大難題。市場上的雲端管理方案一般以「買斷」的形式出售，且產品功能單一；如若尋得解決方案，亦未必能聘用到適合的專業人才去管理；即使有人才，亦未能作24小時監察，無法將解決方案效益最大化。 有見及此，Resolve提供了 ASOC（ASOC-as-a-Service）方案，方案結合管理網絡安全的 FortiSIEM（Security Information and Event Management）安全資訊和事件管理方案、控制應用程式及管理容器（Container）的 CWP（Cloud Workload Protection），並配合 RPA（Robotic Process Automation）機器人流程自動化的商業影響分析系統，集三大功能加上 7/24 團隊，讓客戶可以一站式處理雲端的管理、安全及分析問題，一次過解決系統遷移的痛點，盡情享受使用雲端的好處。 ASOC Overview Resolve 的創辦人兼 Consultant Leo Wong 表示：「現在很多銀行及金融業都考慮將系統搬到雲端，但不知從何入手。我們的…

每日都有企業或機構被黑客入侵，到底是網絡攻擊真的無法防備，抑或另有原因？IBM 網絡安全團隊 X-Force 就在最新發表的調查報告內指出，2/3 的雲端資料外洩事件，都可以靠安全政策同設定阻止……即是企業做得未夠好啦！ 新冠疫情加速企業數碼轉型，愈來愈多企業或開發者使用公共雲 (Public Cloud) 服務，有關雲端應用的網絡安全問題亦變得火熱。最常被提出來討論的，主要圍繞網絡防火牆、登入驗證、帳戶權限配置、數據加密等方面的功能內容。有安全專家認為，針對雲端服務攻擊之所以能夠成功，很多時與受害機構未能理解雲端應用背後所使用的科技及運作原理，以至未能適當進行安全設定，堵塞存在的漏洞。今次 IBM 安全團隊 X-Force 為 2020 年第二季至 2021 年第二季跟進的雲端外洩事件中作出總結，便認為有 2/3 受害企業如果能制訂堅實的安全政策、為軟硬件保持更新，以及為雲服務作好設定，便可避免慘劇發生。 而在眾多安全問題中，研究團隊指出在採用雲服務後，員工或客戶都會通過應用及各種…

無論你是否 remote worker，抑或是身兼多職的 slasher，好大機會需要四圍工作，由於不再像傳統工作模式般，網絡安全可獲公司支援，所以更加需要注重「網絡衞生」，避免因不當習慣而遭受網絡攻擊，連累公司、客戶受損，隨時飯碗不保！ 電腦加鎖：作為經常要帶著手提電腦或智能手機工作的人，遺失電腦或手機是難以避免的意外，為免工作設備被其他人打開並利用，機主必須為設備啟動保護鎖，例如必須輸入密碼，甚至利用機身上設有的生物特徵信(biometrics)如指紋、人臉辨識解鎖功能。即使設備不幸遺失或遭盜竊，也不用擔心內裏資料會外洩。另外，外置硬碟或USB儲存裝備，同樣需要額外啟動密碼保護，以防萬一。 安裝防毒軟件：沒有公司的防火牆、防毒工保護，在家工作的員工或slasher最低限度都要安裝可靠的防毒軟件，因為它會協助掃描下載的檔案是否藏有惡意軟件，而且亦會阻止你進入釣魚網站甚至打開可疑的連結。雖然以病毒特徵把關的防禦法未能阻截零日威脅，但至少可減少中招風險。 保持更新：黑客經常利用軟硬件的零日漏洞或已知漏洞發動攻擊，前者在廠商發現並推出安全更新檔前，可以話無得防備，但已知漏洞一般已有安全更新升級，如果依然中招，只可以怨自己懶。時刻保持電腦作業系統、各種應用程式及瀏覽器的 firmware 在最新版本，才能減少被攻擊風險。 加強保安：雖然不少人都認為自己家無財物，即使被爆竊也不會有大損失，因而對家宅安全掉以輕心；不過即使你的電腦設備如何「古董」無價值，但內裏儲存的資料或帳戶登入資訊，卻有可能讓賊人乘機入侵你的公司或你的客戶，一旦發生意外隨時可以飯碗不保，所以除了網絡要保安，家居的防盜設施亦不可小！ 資料來源：https://bit.ly/38Z3a13

網絡安全研究員警告，雖然最近有不少知名的勒索軟件集團消失無蹤，但同時亦有新力軍加入，當中有四個新興勒索軟件集團非常值得注意，好有可能成為下一個REvil、DarkSide，成為企業網絡安全的重大威脅。 勒索軟件是現時全球企業面臨的最危險網絡攻擊之一，因為犯罪分子不但會加密企業的資料庫及網絡設備，更會以所取得的機密數據向企業敲詐，勒索數以百萬贖金。由於贖金收益龐大，因此吸引不少網絡犯罪分子加入，企圖在市場上分一杯羹，再加上有犯罪分子會提供 RaaS（Ransomware-as-a-Service）服務，將勒索軟件租借給其他不懂編程及編程的用家，因此要加入也不難。 雖然近月一些知名的勒索軟件集團似乎消失，部分更盛傳已被執法機關取締，但 Palo Alto Networks 安全專家警告，新或舊的勒索軟件集團正在填補市場上出現的空位，當中有四個集團特別值得關注。 LockBit LockBit 成立於 2019 年 9 月，提供 RaaS 服務，自從今年推出 LockBit 2.0 後，隨即引起犯罪分子的注意。新版本提供更多功能，而在更在數個月之間成功入侵了…

研究發現，71% 企業或機構曾在過去一年遭受商業電郵詐騙攻擊 (BEC)，而美國 FBI 在過去一年接獲的 19,369 求助中，計算中企業或機構的累計損失高達 18 億美元，屬 2020 年最昂貴的網絡攻擊。而要阻止 BEC，不能單靠電郵防護系統或員工，更重要是結合行政管制政策，全方位堵塞漏洞出現。 商業電郵詐騙攻擊 (Business Email Compromise) 的攻擊手法大致可分為三類，分別是假扮寄件人，或盜用帳戶進行各種詐騙手段，例如轉帳金錢、開啟釣魚網站連結或打開惡意軟件。BEC 相較一般釣魚電郵的不同之處在於它並非漁翁撒網，而是有目標地攻擊企業或機構內的職員。為了假扮成公司內的高層或員工，BEC 罪犯通常會潛伏在內部網絡或電郵系統內一段較長時間，以了解內部架構、生意夥伴的合作業務等情報，甚至偽裝目標的慣常用字，提高詐騙電郵的成功率。以涉及金錢轉帳的騙案為例，日本媒體 Nikkei…

網絡安全事故頻生，企業到底對公司的安全性有幾大信心？Trend Micro 最近發表的一份調查報告話俾大家知，原來有 80% 受訪企業預計未來一年有可能發生客戶資料外洩，情況相當悲觀。而危機憂慮主要來自三個方面…… 雖然近月大量發生勒索軟件入侵事故，不過根據 Trend Micro 最近完成的「網絡資訊保安風險指標」(Cyber Risk Index) 報告顯示，企業最憂慮的網絡攻擊是中間人攻擊 (MitM)，而勒索軟件只排第二，而第三至第五位順次序為網絡釣魚與社交工程詐騙、無檔案式攻擊及殭屍網絡。今次報告一共訪問了來自全球 3,600 多間企業，其中令企業 CISO 資訊保安長最擔心的弱點共有三項，分別是企業本身的運作和基礎架構風險、數據防護及人為因素，一旦遭受網絡攻擊，可嚴重令企業流失客戶、知識產權損失及業務被中斷。 CISO 的擔憂並非全無根據，因為有 24% 受訪企業曾遭受 7…

雖然勒索軟件、木馬程式佔據了網絡安全新聞的頭條，不過，超過 90% 網絡攻擊都是由釣魚電郵發動，因此企業了解電子郵件威脅的趨勢仍是最重要的工作，因為每一封繞過電郵防護系統進入的釣魚電郵，都有可能導致嚴重的數據外洩事故，造成無法估計的損失。 釣魚電郵中最常見的攻擊方法是騙取帳戶登入資料，因為黑客毋須於電郵中放入惡意軟件，只須引誘受害者到虛假網頁填交資料，因而通過電郵防護系統的機會更大，而這種攻擊主要依賴員工的網絡安全意識高低，去識別是否陷阱。除此之外，電郵防護系統的攔截功能主要建基於已知的攻擊手法、有問題的伺服器位址等，所以未能對付新的攻擊手法，必須借助人類的知識，根據收集到的安全威脅情報去預測攻擊趨勢，因此單憑電郵防護系統是無法完全阻止釣魚電郵攻擊。 在電郵安全領域上，被阻截的惡意電郵數量並不能真正反映系統是否成功，衡量標準應該落在通過安全關卡後的釣魚電郵，是否能夠在演變成數據外洩事故前被迅速偵測出來。不過，電郵防護服務供應商並不傾向分享這些數據，在商言商，這種做法完全合理，因為分享系統無法第一時間攔截的數據對他們並沒有益處，反而有可能影響客戶的信任，而且公開後便需要快速修補問題，以彌補放入釣魚電郵的漏洞。 換一個角度說，防護工具的攔截方法始終有迹可循，黑客可通過嘗試調整攻擊策略，以成功讓釣魚電郵進入正常郵箱；不過，黑客難以估計員工的識別標準，可通過防護系統並不等於可成功騙取員工。既然沒有任何防護系統可 100% 阻止網絡攻擊，而企業亦無法單靠人力處理數以千計的安全警報或完全識別惡意電郵，關鍵便在於如何結合雙方，真正推動電郵安全水平。 企業平常必須為員工進行安全意識培訓，而對於安全意識經理來說，模擬攻擊必須接近真實的威脅，即因應當時的社會狀況、潮流、時間，作為模擬攻擊的主題。安全意識經理應與和 SOC 安全運作中心齊心協力設計模擬，以密切模仿針對特定行業的最新威脅。 關於如何模擬電郵攻擊及處理未能通過模擬安全測試的員工，企業亦須特別注意，警告或懲罰只會顯著下降員工的士氣，而且即使員工不慎中招，也不應嚴厲責罵，以免令他們日後不敢上報，反而令作業環境變得更不安全。 資料來源：https://bit.ly/3rXtIs6