可能你未必留意到 reCaptcha 係啲乜嚟，但你絕對有用過呢項人類驗證功能。當你去到某啲網站嘅時候，為咗證明你唔係機械人，就首先要通過點選 reCaptcha 驗證 box 入面嘅圖案，例如有幾多格有交通燈、貓，答中咗先可以去到指定網站或開始網購。而雲端安全解決方案供應商 Barracuda 最近就發表報告，多咗黑客利用真嘅 reCaptcha API 嚟提升釣魚攻擊嘅可信性，特別係搏取安全防護系統嘅信任添！ 先交代下 reCaptcha 呢項功能先，其實佢早喺 2003 年已被提出，不過當時只係叫 Captcha。後來團隊諗到用呢項功能行善，就係借助網民力量提升 OCR 光學掃描技術嘅準確度，於是計劃先變成…

最新價格調查就顯示，喺2019年網絡釣魚套件售價平均較 2018 年飊升149%！唔通連惡意軟件都供不應求？ 所謂網絡釣魚套件，其實係專為唔多識自己編寫惡意軟件，而又好有興趣透過發送釣魚電郵係搵錢嘅罪犯而設，因為只要買咗呢啲套件再做少少設定，釣魚電郵就可以漁翁撒網咁發放出去，罪犯只要坐定定喺度等收網。情況就好似出售其他惡意軟件一樣。而網絡安全公司 Group-IB 上星期發表研究報告，指出 2019 年網絡釣魚套件嘅平均售價係 304 美元，比起 2018 年嘅 122 美元大升 149%。而原本最平賣緊 10 美元嘅套件，2019 年都要賣到 20 美元，最貴嘅更賣到…

雖然唔少人都對新推出嘅 iPhone SE 心感興奮，不過，Apple榮登全球最受歡迎品牌第一位呢件事，只係講緊最受罪犯歡迎者。因為Check Point Research最近調查顯示，2020 年第一季度最常被釣魚電郵利用嘅品牌就係 Apple 喇，佔十份之一有多，其次就係萬眾期待喺疫情下會有開放任睇嘅 Netflix，明丫，有真開放嘅 Pornhub 就榜上無名喇因為大家都第一時間自己去官網登記嘛。 頭十位最常被網絡釣魚攻擊利用嘅品牌係： Apple (佔全球所有品牌網絡釣魚攻擊的 10%)Netflix (9%)Yahoo (6%)WhatsApp (6%)PayPal (5%)大通銀行(5%)Facebook…

Microsoft 已經停止支援 Windows 7，搞到唔少用家都趕喺最後機會免費升上 Windows 10。不過，Windows 10 都唔係安全好多，因為剛啱又俾人發現，系統內其中一個用咗十幾年嘅 CryptoAPI 存有漏洞，可以俾黑客利用嚟假扮已獲數碼簽證嘅軟件，繞過電腦嘅網絡防護功能，從而喺目標電腦上安裝惡意程式。如果大家仲記得，上年 ASUS 就因為俾黑客偷咗數碼證書，令黑客可以將有毒嘅更新檔放上 ASUS 自動更新軟件褲，再推送出去俾過百萬用家。另外，亦有大學專家漏洞可被利用嚟攔截及修改 HTTPS 嘅通訊，將受害者引導去虛假網站偷取資料，影響力非常之大。 不過，升級上 Windows 10 始終有保障，因為…

從事網絡安全行業，都知道世界上沒有百分百安全的偵測工具，可以完全阻截黑客的攻擊。如果有，就不會出現零時差攻擊（Zero Day Attack）。 RESEC 網絡安全公司的 Executive Chairman Tal Yatsiv 亦明言，網絡安全只是一場攻防戰，防守方往往處於被動，大部分時間只能見招拆招；相反攻擊者由於了解守方的防禦手法，自然更易鑽探漏洞，想出新鮮的攻擊方法，「所以我們認為最佳的防禦策略，並不是偵測而是預防。」他說傳統防禦概念是以不同的工具去偵測哪些檔案藏有病毒，建立白名單，但前設是病毒特徵資料庫必須先有記錄，否則偵測工具便會放行，換言之都有出錯風險，「因此 RESEC 創辦人及 CTO Oren Shnitzer 當年設立 RESEC 時，其宗旨並非為了攔截有問題的檔案，而是視一切檔案都有問題，並提供安全方法讓用家去開啟檔案。」 安全防禦 拒設白名單…

研究員剛於 DEF Con 發表報告，指出大量 4G 路由器存在漏洞，黑客可輕鬆遠程突破。其實 5G 都嚟緊，做乜仲集中火力去調查 4G 路由器呢？原因好簡單，研究員話根據過往經驗，好多製造商喺開發新產品時，核心程式碼其實都會同舊產品差唔多，所以如果唔正視問題，呢啲漏洞將會喺 5G 產品上繼續出現，所以唔好以為產品過時就唔使理。 Pen Test Partners 於 DEF Con 發表報告中，指出唔少知名牌子嘅路由器均存有多重漏洞，包括命令注入及遠程代碼執行漏洞，黑客只須編寫含惡意代碼嘅網站，之後就可以靜候有漏洞嘅路由器登入中招。研究員更指出，部分漏洞更容許黑客盜取登入密碼及其他資料，之後就可以盡情截取數據或將連接路由器嘅用戶導向其他虛假網站，非常大鑊。Pen Test…

裝得防毒軟件，梗係希望可以攔截病毒或去錯虛假網站，但如果佢會洩漏你嘅行蹤，你又會唔會用？ 網絡防毒軟件供應商 Kaspersky 嘅產品，最近就被發現原來有呢種「附加功能」，而且喺過去四年一直發生緊。網絡安全獨立調查員 Ronald Eikenberg 發現，Kaspersky 旗下嘅防毒軟件 Anti-Virus、Internet Security、Total Security、Free Anti-Virus 及 Small Office Security，喺用戶訪問每個網站時，都會遙距注入一個 JavaScript 檔案去目標網站，以確定呢個網站有無被 blacklist。呢一個名為 Kaspersky…

睇得多警訊都知，騙徒手法層出不窮，要避免中招，當然要認清今期流行嘅攻擊手法。網絡安全公司 Kaspersky 剛啱出咗今年第一季度報告，總結電郵騙案嘅手法。結果發現，以下 5 大手法雖然唔算新招，但真係萬試萬靈！ 騙徒手法一：情人節裡出陰招 第一季度最大節日非情人節莫屬，關於送禮嘅騙案特別多，騙徒扮交友或者花店網站 send 訊息俾你，唔單只會提你買禮物送俾另一半，亦有騙徒會溫馨提示男士買定偉哥為佳節做足準備，誓要引到人點擊訊息入面嘅虛假網站連結，再輸入埋信用卡資料就大功告成！ 騙徒手法二：賣有毒蘋果 唔係白雪公主入面嘅女巫先識得用毒蘋果，其實每次蘋果有新產品發佈，都係騙徒搵食時機！Kaspersky 發現三月底蘋果出新產品時，每日中招人數由平時幾千個急升至幾萬個，最高峰嗰日甚至接近八萬人，佢哋大部分都係收到電郵通知，點擊連結後去到假蘋果網站，無防備下輸入 Apple ID 驗證，就咁就俾人呃咗個帳戶資料。如已經綁住信用卡，真係可以瘋狂用嚟購買 iTunes 點數卡㗎。 騙徒手法三：我係嚟幫你整機嘅 而家電腦出問題，十居其九會上網搵技術支援啦。報告指出近來社交媒體同埋討論區出現大量貼文，聲稱可以幫你一次過搞掂幾樣電腦產品問題，而且騙徒仲寫明會收取合理價錢提升可信性，等你唔會以為免費冇好嘢而唔幫襯。最諷刺嘅係，騙徒連 Kaspersky…

過咗農曆新年，又係打工仔求變嘅旺季。作為IT從業員，為咗提高被獵頭嘅機會，自然識得利用 LinkedIn 等職場社交平台去增加曝光率。不過有資安機構就警告，自從上年中開始，發現越來越多黑客利用呢個平台，誘騙求職者開啟惡意連結或附件，從而下載及安裝 More_Eggs 木馬程式喺對方嘅電腦入面，成功操縱受害人嘅電腦。 首先黑客會喺 LinkedIn 開一個虛假職業仲介公司帳號，然後誘騙目標人物建立關係；相隔一個星期，黑客就會發出一個載有招聘職位資料嘅電郵，要目標人物打開連結，進入預設嘅虛假網站，下載及開啟 Microsoft 文件檔或 Javascript。只要目標人物打開檔案或允許執行 Macros 指令，接住落嚟系統就會自動執行安裝木馬程式指令；另一個情況係電郵內會附有一個無法開啟嘅 PDF 檔案，誘騙目標人物打開旁邊嘅連結去虛假網站。 雖則話騙徒手法層出不窮，但今次呢條橋其實一啲都唔創新，中招嘅原因主要係出喺人心之上。奉勸各位準備搵工嘅人士，千祈唔好咁容易打開陌生人提供嘅連結，否則只會得不償失。 資料來源：https://bit.ly/2EaZbi0