「重賞之下必有勇夫」這句說話可謂世界通行，有黑客組織早前就在俄羅斯一個地下討論區，以 11.5 萬美元獎金，邀請有才之士提供針對加密貨幣 (cryptocurrency) 及攻擊相關技術的可行方法，包括挖礦工具、智能合約及非同質化代幣 (NFT) 等等。比賽將於 9 月 1 日結束，不過主辦方現時已收到不少「學術」研究。 集思廣益是其中一個搵出漏洞的最佳方法，白帽黑客界亦有採用這種方式，當中以 HackerOne 賞金獵人 (bug bounty hunter) 平台最有名氣，旗下擁有約 60 萬會員，成員更來自全球 170 個地區。上年其中一個會員…

除了因疫情而趨化的遙距工作，企業亦開始實施隨處皆可工作（Work Anywhere）或混合辦公（Hybrid Workplace）的模式，令工作變得更加靈活和有彈性。因此，企業加快數碼轉型步伐，因而對軟體即服務 （SaaS）等雲端服務需求大增。企業上雲是近年大趨勢，而科技為工作帶來的良好體驗，亦能讓僱員工作時更得心應手，一個完善、易於管理的雲端服務平台，就顯得更為重要。 實施混合辦工模式，意味著要讓身處不同地方的員工，隨時獲得不中斷的存取權限以完成工作。在這種情況下，數據流量的安全性自然成為隱憂，在混合辦工的常態之下，用戶需要以不同的端點裝置設備（Endpoint devices）進入公司伺服器工作，舊有的堡壘式資安保護（Perimeter-based Security Protection）已不足以應付，甚至因為流量大增令閘口不勝負荷！而連線的安全亦是另一考量，稍一不慎隨時讓駭客有機可乘，企業該如何在網絡安全和工作效率之間取得平衡呢？ Gartner預測：2023年將有40% 企業採用混合辦工架構 Gartner 的調查指出， 直到 2023 年將會有 40% 企業採用實體及虛擬架構混合的營運模式，以提升工作效率，同時讓企業員工支援身在任何地方的客戶。 因此提出安全存取服務邊緣 （Secure Access Service Edge，SASE）的新興概念 ，一種將不同的存取與網路安全方法匯聚至一個共同平台的服務，可更彈性地簡化網絡與安全基礎架構，有效減低成本。SASE 主要採取零信任網絡存取（Zero-trust Network Access, ZTNA）策略作身份驗證， 讓用戶無論身處何方，都能簡單快捷地對適當應用程式、網址網絡或公司數據作出安全存取。網絡範圍也可擴展至不同用戶、裝置及應用程式等，毋須再面對太多用戶使用 VPN 連線，致等候時間過長的問題，以降低安全風險。Gartner 亦預測到 2024 年，至少有 40% 的企業會明確採用 SASE 的策略，高於 2018 年底的不到 1%，故企業必須為邁向SASE而鋪路。 檢測所有流量及用戶體驗 一滴不漏抵禦攻擊 …

有時在活動中留下電郵地址之後，便會後續收到各式各樣的宣傳信件，感到很困擾的時刻萌生退訂（unsubscribe）念頭，豈料竟然收到更多垃圾郵件？！這種新型的欺詐電郵是怎麼一回事？謎題解開！原來電郵詐騙者以虛假的「取消訂閱」垃圾郵件，來確認網絡釣魚和垃圾郵件，能有效傳送至有人使用的電子郵件帳戶，以便後續行動。 欺詐者會在一段時間，不斷發送垃圾郵件滋擾受害人，並詢問是要退訂還是要繼續訂閱。這些電子郵件並未有說明訂閱或退訂的內容為何，旨在驗證收件人的電子郵件是否有效，以及是否容易受到網絡釣魚詐騙和其他惡意電郵活動的影響。 電郵的主題會以「Confirmation（確認）」為題，例如 「We need your confirmation asap（我們需要您盡快確認）」、「Request, please confirm your unsubscription（請求確認取消訂閱）」。這些電郵設計簡單，只有色框包著「退訂」及「訂閱」的連結。如果點擊訂閱或取消訂閱的連結，便會直接創建一封新的回覆電子郵件，其發送對象將是由詐騙者所操控的不同電子郵件地址。 因此，當受害者發送上述電子郵件時，本來是希望取消訂閱，但實際上卻是為垃圾郵件發送者，驗證他們的電子郵件地址是否有效，繼而受到監控。 Bleeping Computer 為測試這個取消訂閱電郵的目的，特地創建一個從未在任何網站或服務上使用過的新電子郵件地址，並使用此電郵回覆由另一電子郵件帳戶收到的退訂電郵。結果新帳戶發送相關訊息後數天，新帳戶就被垃圾郵件轟炸。測試進一步證實垃圾郵件發送者，正在使用這些訂閱 / 取消訂閱電子郵件，來驗證容易受到此類詐騙和網絡釣魚攻擊的電子郵件地址用戶。 Bleeping Computer…

企業數碼轉型已成為常態，Dell Technologies（戴爾科技）副總裁兼香港及澳門區總經理李詩韻表示，去年新冠疫情在全球爆發，迫使各行各業加快採用數碼科技，她更認為香港企業以至消費者，在疫情下數碼轉型的步伐，整體而言「算是比較快而且明顯」。 疫下開拓網上服務及遙距學習 「過往香港的數碼轉型步伐真的比較慢，就以電商為例，畢竟香港是一個小城市，很容易就可以去到商店購物，港人其實沒太大網購需要。」李詩韻提到，自從疫情爆發，大家需要盡量留家避疫，「連公司都返唔到」，很多企業以至政府部門，都需要開拓網上服務，以及安排員工遙距工作。除此之外，學生需要在家遙距學習，亦為教育界帶來重大改變。 Dell Technologies 去年曾進行數碼轉型指數調查，訪問了大約 4300 間企業，顯示有八成企業，在疫情之下加快數碼轉型，更有近九成受訪企業揚言，需要更靈活的 IT 基建，以便採用數碼科技。 企業致力推動數碼轉型，亦為 Dell Technologies 本身帶來商機。李詩韻表示，集團今年第一季的全球營業額達 245 億美元，跟去年同期比較上升 12%，增長主要源自市場對遙距工作及學習、網上交易，以至是數碼娛樂等方面的需求大增，帶動了企業對所需數碼配套，例如是公私有雲、網絡安全方案的需求。 集團昨日亦宣布，在本港推出一系列新產品，包括新一代 EMC…

2020 疫情推動遠程工作，無數用戶使用資安漏洞百出的裝置處理公司機密，低成本低技術門檻的 Old School 網絡攻擊成為散戶式黑客 2020 最常用手段，且收穫甚豐。2021 年則由機構型黑客主宰新聞推送，由 Solarwinds 到最近 Colonial Pipeline，關鍵字係 Ransomeware、Infrastructure、天價贖金。資安團隊很忙，所以時間更加要用得其所，洞察黑客的下一步提早佈局。 3 月 Microsoft 揭露中國黑客組織 Hafnium 透過 4…

與 Facebook 不同，Instagram 較受青少年用家歡迎，因此不少性罪犯都會利用該平台，私下接觸未成年用家。Facebook 為了保障這些用家，便交由人工智能技術去評估帳戶持有人的真實年齡，如發現是用家「扮後生」，便會阻止他們與青少年用家接觸。究竟如何執行？ 人工智能 (Artificial Intelligence) 的用途非常廣泛，它可以應用於工業、醫療、交通網絡、教育等範疇。而今次 Facebook 套用於 Instagram 的 AI 技術，便是為了防止青少年受到性侵，可說是非常特別的用途。近年不少性罪犯轉移使用社交平台或即時通訊的私訊功能，扮演成不同角色接觸青少年，混熟後便露出獠牙，或約青少年外出性侵，或取得青少年的私密相片勒索。有研究報告顯示，過去兩年超過七成的青少年性侵事故都是藉由Facebook、Messenger、Instagram、WhatsApp 或 Snapchat 等通訊工具作為起點，當中約 25% 性罪犯更是使用…

本港新冠肺炎疫情轉趨緩和，然而疫苗接種率卻偏低，政府因而頻頻出招「谷針」，今日食物及衞生局局長陳肇始更指出，或禁止未接種疫苗人士，進入食肆、戲院等場所。另一邊廂，創新及科技局局長薛永恒亦在社交平台上預告，將於「安心出行」程式內追加電子針卡功能，相關功能將在未來數日推出。香港資訊科技商會榮譽會長方保僑接受查詢時表示，目前政府醫健通以及智方便等平台，本身已可用作存取電子針卡，安心出行程式「可作為市民的 Alternative（替代方案）」，但能否吸引更多人使用安心出行，仍需取決於疫苗接種比率，以及政府防疫措施如何。 方保僑指出，將來新功能推出後，市民只要利用安心出行掃瞄紙本針卡上的二維碼，便可以在安心出行上儲存電子針卡，「等於將紙本針卡的 pdf 檔儲存於手機內」。他直言，雖然現時市民一樣可以利用醫健通儲存電子針卡，智方便平台亦讓市民大眾快速登入包括醫健通在內的各種政府服務，但兩者均需事先登記使用，平台亦非單單為電子針卡而設，「安心出行會是方便一點的電子針卡方案，但它跟醫健通、智方便始終用途不同，智方便主要用來登入政府服務，方便市民報稅、為駕駛執照續期等。」 安心出行程式向來存在私隱爭議，方保僑認為，電子針卡所記錄的接種者資料政府本身已經擁有，「所以都冇話洩唔洩漏個人資料畀政府」，到時市民如想利用安心出行儲存電子針卡，亦需要為手機設定密碼鎖或者生物辨識登入。雖然市民進入餐廳前，難免要讓餐廳負責人檢查電子針卡，但方保僑再一次提醒，無論是紙本針卡抑或電子針卡，大家均不要隨意將當中的二維碼及重要資料，透過拍照或者截圖方式再上傳至網絡，以免個人重要資料在網絡世界曝光。 研電子針卡可儲於Apple Wallet 另一方面，薛永恒稱安心出行程式最新下載量已突破 439 萬，參與計劃的公私營場地超過 8.8 萬個，同時正研究讓市民把電子針卡收納於 Apple Wallet 內。方保僑指出，這點在技術上並不難做到，「就好像航空公司也容許乘客將登機證存放於 Apple Wallet」，但他相信，市民需要通過醫健通及智方便平台，方能在 Apple Wallet…

愈來愈多人投身 YouTuber 行列，但有否想過，YouTuber 也可能成為黑客的網絡攻擊對象？近日本港便有 YouTuber 懷疑被黑客入侵帳戶，黑容除了利用其頻道進行直播，更將受害人數以百計嘔心瀝血製作的影片，一一變成不公開。受害人推斷，事件可能跟黑客盜取其 Session ID（工作階段識別碼）有關，但亦有網絡安全專家不明白，系統雙重驗證（Two-Factor Authentication, 2FA）為何未能發揮帳戶保護功效。 懷疑受到黑客攻擊的 YouTuber「希比」，在 YouTube 平台經營個人頻道「HEBEFACE」，經常製作及上傳影片，介紹港產片經典場景，頻道獲超過 6.3 萬人訂閱。希比接受本網訪問時表示，大約一星期之前，他收到粉絲通知，懷疑 HEBEFACE 頻道被入侵，他查看後發現，有人正利用 HEBEFACE 頻道進行以太坊相關的直播，「我於是馬上更改登入密碼，但之後對方仍然可以控制到我的帳戶，我更眼白白看著他將我的影片變成不公開。」希比表示，當時自己依然可以控制帳戶，包括將影片設定回公開，可見對方只入侵而沒有奪取其帳戶，情況相當特殊。…

勒索軟件 (ransomware) 已成為最受黑客集團喜愛的攻擊手段，因為不少企業為免有損商譽，或盡早恢復正常業務，都傾向選擇交贖金。而為了逼企業就範，勒索軟件集團亦想出不少連鎖攻擊，例如用 DDoS 進一步癱瘓受害者的網上業務、打電話通知受害企業的客戶等，創意盡出。 先來看一看勒索軟件的現況。網絡安全業內人士估計，勒索軟件今年將會造成 200 億美元損失，單是最近美國能源供應商 Colonial Pipeline，已向勒索軟件集團 DarkSide 繳付約 400 萬美元贖金，再加上聘請專家調查、修復系統、堵塞漏洞、添置新的安全工具，以及對業務停頓所造成的賠償，相信將輕易突破千萬美元大關，因此 200 億美元總損失絕非誇大。正因為易賺錢，因此 CrowdStrike 早前發表的安全調查報告，已指出勒索軟件已佔 2020 年網絡攻擊事件的…

最近有一個大規模的網絡釣魚活動，表面偽裝成勒索病毒，但實際上是特洛伊木馬惡意軟件，並在 Windows 系統中創建了後門，以從受害者的裝置中的竊取用戶名，密碼和其他信息，聽落相當蠱惑！ 這個以 Java 為本的 StrRAT 惡意軟件，在受感染的電腦裝置中創建後門，表面上如勒索軟件一樣，但實際上是分散受害者注意力，以偷取其個人憑證資料。Microsoft 網絡安全研究人員指出，這個 StrRAT 惡意軟件正以大型電子郵件活動散播，利用受感染的電子郵件帳戶來傳送聲稱與付款相關的郵件，以及以 PDF 附件圖象使之更像真；當用戶打開這份附件，便會被導向至下載 StrRAT 惡意軟件的網頁。 研究人員形容，此惡意軟件的最新版本是比之前的版本更混亂及模組化，除了具有相同的入侵電腦後門功能，包括收集密碼、記錄、操作執行遠程命令和使用 PowerShell 的能力，還包含讓攻擊者可以全權控制受感染的電腦的能力。 在感染過程中，惡意軟件會在文件中添加 .crimson…