千祈唔好以為黑客只針對大型企業，無論是甚麼規模的企業，一樣要做好網絡安全的措施，即使是小型企業，一樣有方法避免中伏。 網絡攻擊對於小型企業來說，可能並非首要考慮的事情，網絡犯罪分子貌似多數只針對具規模、有利可圖的目標；然而事實是小型企業同樣會成為黑客和網絡犯罪分子的目標，因為小型企業同樣手握各種機密數據，例如個人資料、信用卡資料、密碼等，黑客一樣會虎視眈眈。但相對中型企業或大型企業，小型企業的資訊安全意識及保護措施相對較弱，尤其是在沒有專業網絡安全員工的情況下，致使危險度也增加。 小型企業成為供應鏈攻擊的一部分，主要是黑客能透過他們獲得大公司的存取權：從入侵可能是大型機構供應商的小型企業，攻擊者可以利用存取權滲透網絡，攻擊其商業夥伴。 小型企業遭遇無論是網絡釣魚、勒索軟件、惡意軟件，還是攻擊者擁有存取權和篡改數據權限的任何其他類型的惡意活動，其所導致的結果都可以是極具毀滅性，甚至有網絡攻擊受害者因此而永久關閉。 以下是 ZDNet 提供的自保招式，提醒小型企業如何避免墮入一些基本網絡安全陷阱。 1.不要使用弱密碼來保護線上帳戶 網絡犯罪分子並不一定具備超強技能，才能入侵企業電子郵件帳戶和其他應用程式，因為很多時他們能夠進入企業系統，純粹是因為帳戶擁有者使用弱密碼或容易猜測的密碼；同時使用雲端辦公應用程式和遙距工作模式的轉變，也為網絡犯罪分子提供了更多攻擊機會。 記住許多不同的密碼可能很困難，因此不少人在多個帳戶中使用簡單的密碼，導致帳戶和企業易受網絡攻擊，特別是如果網絡犯罪分子使用暴力攻擊以常用或簡單密碼列表作嘗試。另外，也不應該將密碼設定為易於發現的訊息，例如最喜歡的球隊或寵物名字，因為社交媒體上的資料，或成為密碼線索。 國家網絡安全中心 (NCSC) 建議使用由三個隨機單詞組成的密碼，並指這個策略能令密碼難以猜測。另外，應該使用不同的密碼來保護每個帳戶，使用密碼管理器可以幫助用戶消除記住每個密碼的煩惱。 2.不要忽略使用多因素身份驗證（MFA） 即使已採用強密碼，密碼仍有可能落入壞人手中。網絡犯罪分子可以使用網絡釣魚攻擊等方式，來竊取用戶的登入資料。多因素身份驗證會要求用戶響應警報，來確認是他們本人嘗試登入帳戶，讓入侵帳戶增添障礙：即使網絡犯罪分子擁有正確的密碼，他們也無法在沒有帳戶擁有者批准之下，使用該帳戶。如果用戶收到意外警報，提示有人正嘗試登入其帳戶，他們應向其 IT 或安全團隊報告，並立即重置密碼，避免網絡犯罪分子繼續嘗試利用被盜密碼。 儘管使用多因素身份驗證或雙因素身份驗證 (2FA)，已是最常建議採用的網絡安全措施之一，但許多企業仍沒使用，令人憂心。 3.…

Trend Micro 報告指，2020 年中起，一個名為 Tropic Trooper 的威脅組織，持續針對與交通運輸部門相關的組織和政府體系行動。這個高級長期威脅 (Advanced Persistent Threat, APT) 也被稱為 Earth Centaur 和 KeyBoy，由 2011 年起一直存在，主要針對香港、菲律賓和台灣的政府、醫療保健、高科技和交通部門的組織，作間諜活動。Trend Micro 指出，由於在…

不少公司運作依賴雲端系統，但不安全的雲端服務，對企業來說是隱藏了巨大的風險，網絡犯罪分子往往乘著漏洞入侵目標。Palo Alto Networks 的網絡安全研究人員設置一個由全球 320 個節點組成的蜜罐（honeypot），以檢查黑客的攻擊模式。這些蜜罐由多個常見配置錯誤的雲端服務實例組成，如遠程桌面協議 (RDP)、安全外殼協議 (SSH)、伺服器訊息區塊 (SMB) 和 Postgres 數據庫、使用默認密碼或弱密碼的帳戶等。研究人員在過程中發現有蜜罐僅持續了幾分鐘，就被黑客入侵。 網絡安全研究人員發現，網絡犯罪分子在發現了這些蜜罐之後，便立即行動，一些站點在幾分鐘內被攻破，而 320 個蜜罐中有 80% 在 24 小時內被攻破，所有蜜罐在一周內已被侵害。被攻擊最多的應用程式是 SSH，SSH…

一個黑客組織入侵了安全防護系統初創公司 Verkada 的大約 15 萬個聯網內的監控鏡頭，使他們能夠取得多個組織的實時和存檔影片信號，包括生產設施、醫院、學校、警察部門和監獄，更包括 Tesla。據報道指，黑客主義者 Tillie Kottmann 宣稱是事件負責人之一，向 Bloomberg 披露這次資料入侵行動是一間國際黑客團體所為，目的是為了展示無處不在的視訊監控，以及攻入這些系統輕而易舉。此說法引起爭議，專家正權衡如果安全錄像洩露落入不法分子手中，受害組織可能遭遇的潛在後果。 影片資料洩露可能會導致知識產權盜竊、人身安全威脅、侵犯隱私、敲詐勒索，或許還會受到監管部門的懲罰。更糟糕的是，這些攝像頭採用了面部識別技術，導致了以下問題：攻擊者是否可以真正識別被攝像頭捕捉到的個人，然後將他們作為社交工程（social engineering schemes）或更恐怖計劃的目標。 Bloomberg 查看被盜的 Verkada 影片，包括據指是上海 Tesla 倉庫的裝配線上的工人圖像。不過，Tesla 後來告訴路透社，這段影片實際上是來自供應商在河南省的生產基地，其上海工廠及展示廳未受影響。不過，Kottmann 表示，他們仍能獲取安裝在 Tesla 工廠和倉庫中的 222 個攝錄影像。根據報道，網絡性能公司 Cloudflare 和身份權限管理服務提供商 Okta，被指也在工作場所使用 Verkada 的服務。…

被稱為全球現時最嚴厲的私隱保障及安全法規，歐盟《一般資料保護規則 》（GDPR） 已實施超過一年。此規則旨在為歐盟公民個人資料的儲存和處理，提供更好的保障，但仍然有許多公司未有對此嚴格遵守，當中包括歐洲以外的知名公司。 例如，美國酒店連鎖巨頭萬豪國際集團 （Marriott International）因駭客盜取了 3.83 億條客人訂房記錄，結果要面對 1.25 億美元巨額罰款；谷歌亦因其用戶意見征求政策，以及未對使用用戶信息進行足夠監管，而被罰款 5,680 萬美元。 儘管以上案件備受矚目，全球任何機構在針對或收集與歐盟成員國家人民有關的資料的行為上，亦必須嚴格遵守 GDPR，只要有任何一個客戶屬於歐盟公民，都要遵守該新法，但香港一些公司仍然以為這法規與其業務運作無關。事實上，歐盟是香港的第二大的貿易夥伴，排名僅次於中國內地；在香港，市面上更有逾 2,200 家來自歐盟國家的公司正在進行業務。 為幫助本地企業遵守 GDPR，香港電腦保安事故協調中心（HKCERT）已經找出可造成資料外洩的四種主要網絡攻擊，若採取適當的保安措施，便可以減低其影響。這些攻擊包括： 網絡釣魚攻擊：網絡釣魚是最常見的攻擊手法之一，有很高的騙取用戶憑證成功率。因此，應定期進行用戶意識培訓，以保持工作人員對可疑網站和電子郵件的高度警惕。利用系統漏洞攻擊：實施計劃周全的修補程式更新管理，包括修補程式更新週期，例如在推出到生產環境之前在預備環境進行「用戶接受度測試」（UAT），以及訂立針對終止支援的系統的適當退出計劃，對防止攻擊者通過舊版或未進行修補程式更新的系統損害公司網絡，尤關重要。若企業因一些實際的理由而無法替代舊版系統，便需要一層額外的保護（即防火牆）來控制和監視對它的訪問。來自不可信的網路的攻擊：一旦員工試圖通過公開的網絡（例如互聯網或公共 Wi-Fi）進入公司網絡，資料外洩的風險就會大大增加，例如設備丟失、會話劫持等，所以必須應用嚴格的身份驗證，例如雙重驗證、使用 VPN…

NotPetya 是一種以勒索軟件為幌子、實際上旨在傳遞政治訊息的惡意軟件：如果你在烏克蘭做生意，就會有不好的事情發生。它更提醒我們，距離已不是屏障，野蠻人已經來到每一道門前，可以用很短時間讓全球陷入崩潰狀態。 NotPetya 爆發一周，烏克蘭一隊身穿迷彩服、荷槍實彈的從衝鋒者魚貫湧出，衝進 Linkos Group 置身那棟殘舊的大樓，那架勢就像海豹六隊闖入拉登的藏匿處一樣。 按照 Linkos Group 創辦人 Olesya Linnyk 的說法，他們拿槍指著不知所措的員工，威嚇他們到走廊排成一隊，同時間，警員以警棍砸碎二樓辦公室旁的玻璃，儘管 Linnyk 已聽話地提供開門的鎖匙。Linnyk 訪問時深深吸了一口氣，但仍難掩怒火，說到：「這實在太荒唐了。」 荷槍實彈的警察小組終於找到他們要找的東西：在這場 NotPetya 瘟疫中，成為首部受感染的伺服器，他們沒收了這些「殺傷力大」的攻擊裝置，並且用塑料袋包好。…

有炒開美國科技股嘅，一定有留意上星期上市嘅 Slack，掛牌第一日就升破招股價，最終收報 38.62 美元，較開市價高 48.5%。雖然第二日股價略為調整，但依然係今年美國上市第二高估值嘅科技公司，僅次於 750 億美元嘅 Uber，但就贏咗另一風頭躉 Lyft，巧威威！而 Slack 仲係第二間直接喺紐約證券交易所掛牌嘅公司，毋須公開集資，創辦人 Stewart Butterfield 話原因係佢哋唔缺錢，真係型到呢…… 正所謂樹大招風，喺 Slack 份上市文件入面都講到明，微軟係佢哋頭號競爭對手，咁微軟梗係唔會坐定定乜都唔做啦！就喺 Slack 上市當日，微軟就向員工發出內部通告，禁止十幾萬名員工使用 Slack…