香港人壓力咁大，男士們少不免會去睇下鹹網減壓，不過防毒軟件商 ESET 最近就發現咗有隻叫 Varenyky 嘅新病毒，會偷偷錄起你去鹹網嘅畫面，隨時有可能用嚟勒索你，減壓不成反而仲大壓力，認真慘慘豬！ 其實呢隻病毒都出現咗一段時間，今年五月左右開始喺法國境內活躣，暫時未見佢出現喺其他國家或者地區。最初佢嘅「毒性」好溫和，主要都係針對法國當地用緊 Orange 呢間電訊商嘅客，不外乎用有筍價手機嘅宣傳單張嚟引你注意，冇睇清楚唔小心撳咗入條 link 就中招，手法唔算特別。 ESET 一直監察呢隻病毒，發現佢無時無刻都喺度變種，密密不停加入新功能，而且七月開始亦唔再出手機推廣電郵，而係出性勒索電郵。經過 ESET 專家深入調查，發現佢加咗段程式碼，只要瀏覽器出現 sexe（sex 法語）字眼，就會啟動 FFmpeg 程式，將用家睇緊嘅畫面錄起，然後將段片傳去病毒嘅原伺服器。 雖然仲未知道黑客錄呢段片想點，但好大可能係想拎嚟勒索對方，因為專家發現 Varenyk…

網絡安全事故頻頻發生，香港企業當然不可能獨善其身，特別是雲技術興起，重要數據或敏感資料未必會只儲存在內部伺服器，被攻擊的層面自然大增。為了減低風險，現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過，面對層出不窮的攻擊手法及難以防備的人為疏忽，企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說，這類保險概念在香港屬起步階段，但在歐洲地區卻歷史悠久，遠在上世紀七十年代已有相關保險，因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟，不單只保障企業，個人一樣受保，例如經常拿著電腦到不同地方工作的自由工作者，保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險，主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇，但網絡安全保險就相對陌生。盧子頴解析，網絡安全保障範疇不難理解，當發生黑客入侵或資料外洩，善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障，主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後，企業必須聘請專家去證明這是否一宗網絡安全事故，進行調查及鑑證，分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報，便有可能需向法律顧問諮詢意。除此之外，為免外洩的客戶資料被黑客用作申請信用卡或借貸，企業或有需要採用信貸監控服務，而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業，這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額，例如過往的交易紀錄等，但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞，又或受到勒索軟件攻擊，待專家取證後，企業便可以修復系統及復原數據，涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱，導致客戶在名譽或金錢上出現損失，對方便有可能入禀追討賠償。 除了上述四項保障，盧子頴說因應市場需求，部分保險公司還會提供一些額外的保障，例如贖金索償，當企業遭受勒索軟件攻擊，有需要繳付贖金以取回解鎖方法，這些贖金便會獲得賠償。「另外，近年因外判商失誤造成損失的個案大增，所以亦有保險公司提供這類保障，例如一些業務涉及電子交易的企業，會委托外判商提供及管理網上交易平台，如證實導致資料外洩的失誤是出在對方身上，投保人便可獲得保障，而保險公司則保留向外判商追討損失的權利。」 事實上，網絡安全保險的保障範圍可以很全面，不過，盧子頴強調與其他保險產品一樣，投保的概念並非為了賺錢，而是減少損失。不過，是否所有企業也需要投保？他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information（PII），而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料？如需管有這些敏感資料，受黑客攻擊的風險便會增加，企業管理者應認真考慮投保，特別是全球各地都開始為保障個人私隱立法，歐盟通過的 GDPR…

Robotic Process Automation（RPA）將會係大勢所趨，坊間好多文章嘗試以學術性手法去探討，但唔係人人都睇得明，或者未想像到 RPA 點落地。今日用個 layman 小小嘅方式解釋一下，希望大家了解流程機械人係幾咁重要，可以慳到幾多時間同減少幾多失誤。 今日講嘅 RPA ，唔好覺得佢係 Buzzword 或 Rocket Science，其實佢無機械臂，亦只係一個存在於 desktop 入面嘅 UI (User Interface)，主要係處理 UI…

如果大家好記性，都記得舊年香港爆過單遺失選民登記冊嘅新聞，最精采 係上個月選委會開記招提返呢件事，竟然話調查完都判斷唔到點解會遺失……any肥，我只係想講，香港地方咁細，唔見咗選民登記冊都牽連甚廣，換轉係美國，當然就更大件事，而且分分鐘影響埋選舉結果！ 路透社最近就出咗篇獨家文章，話原來美國政府內部已經做緊嘢，一個月前推出咗新計劃，希望可以喺 2020 年總統大選前，提升選舉系統嘅防禦能力。上屆選舉時，已經有俄羅斯黑客入侵選民驗證系統，從中偷走資料，但大家擔心嘅係上次只係試驗，今次大選行動會升級，黑客唔滿足於拎資料咁簡單，而係透過操控及竄改資料嚟決定選舉結果，咁就更加大件事！ 華府網絡安全和基礎設施安全局（CISA）局長 Christopher Krebs 接受訪問時就話，近幾個月各州縣政府部門先後被勒索軟件攻陷，部分檔案被鎖住唔能夠打開，要用虛擬貨幣交贖金先開得返，而好有可能下年大選都有機會中招，俾黑客用同樣招數鎖住選民資料。 目前 CISA 已經同所有州政府聯繫，一方面提供教材，等佢哋知點樣應對呢類攻擊，另一方面就落手落腳幫佢哋做齊晒各方面嘅測試，睇下有冇乜嘢漏洞，及早作出修補。雖然目前仲未有指引，如果州政府中招後應唔應該俾贖金，但 CISA 就強調做好預防及備份措施，就係希望唔會出現要俾贖金嘅呢一日。 當然啦，唔想俾黑客勒索，最有效方法就係定時備份，有州政府選舉工作人員就話，自從 2016 年開始，已明顯加強咗網絡保安，而且不時都會備份選民資料以防萬一，但係到底要幾耐備份一次先妥當？暫時都未有清晰指引喇！ 資料來源：https://reut.rs/2ZwpYxK

Clickjacking 攻擊技術，以往大多用喺呃廣告點擊方面，黑客會喺受害者嘅電腦或手機上安裝惡意軟件，暗中點擊網站上嘅廣告嚟賺取廣告費。不過，而家呃人已經唔似以前咁容易，因為互聯網廣告供應商都開發咗一啲偵測系統嚟捉鬼，只要點擊廣告嘅行為有可疑，例如重複點擊同一個廣告，又或瀏覽網頁時唔轉頁淨係 click 廣告等等，都會被視為無效點擊，令到黑客無咁易呃到廣告費及點擊率。 不過，正所謂「路不轉人轉」，呢個方法唔可行，黑客咪研究新方法囉，最新技術就係騎劫網民嘅點擊，即係明明你點呢個位，實際上就點咗其他地方，又或者係你開啟嘅連結同字面表述不符等。 Microsoft Research 最近就聯同香港中文大學、首爾國立大學等學術機構發表研究報告，透過開發出一款名為「Observer」嘅工具，去檢查 Alexa 頭 25 萬最多人瀏覽嘅網站，睇下當中有幾多個被黑客植入惡意騎劫程式碼。最後發現，當中有 613 個網站中招，每日總瀏覽量高達 4300 萬。研究人員又指出，喺被發現中招嘅網站中，有接近 36% 嘅點擊騎劫係用嚟賺取廣告費，其餘騎劫就用喺將網民轉去一啲詐騙網站。而為咗避免令網民起疑，黑客仲識得限制騎劫頻率添。 問題就搵咗出嚟，但點樣防範呢？答案係都要靠網站或瀏覽器製造商時刻偵測網站有無俾黑客植入惡意程式碼，同時間，亦可以喺網民真正點擊連結前，提供多啲連結資料俾網民，等佢哋更容易知道條 link…

電競熱潮直捲全球，唔少後生仔都夢想成為電競選手，可以靠打機搵食。不過，真正嘅電競手一啲都唔易做，日日都要打十個鐘頭機，仲要操體能，所以連香港跳高隊代表楊文蔚都話：「電競同田徑一樣咁難行，跨得過你就係運動員。」 啱㗎，所以大部分人打機其實志在 kill time，邊會覺得可以靠佢搵食。之不過，有啲無 game 品嘅人明明唔夠人打，但又唔肯認輸，於是就想靠邪道威威，上網搜尋有無秘技或程式可以修改遊戲，情況就等於運動員食禁藥一樣。 最識得利用人性弱點嘅黑客又點會放過機會？早前網絡安全公司 Cyren 專家就發現，網上有一個連線射擊遊戲《Fortinite》嘅遊戲修改程式 Syrk，聲稱只要下載及執行 SydneyFortniteHacks.exe，就可以提升玩家嘅開槍準繩度，但實際上 Syrk 係一隻勒索軟件。當用家執行檔案後，就會發現電腦內的圖像、影片、文件同埋音樂檔案全部被上鎖，同時畫面會顯示一段「你已經被綁架」嘅訊息及聯絡電郵地址，要中招者用電郵聯絡，商討俾幾多同點樣俾贖金。為咗加強真實感，黑客仲喺畫面上加咗個計時器，指兩個鐘內唔採取行動，所有檔案就會被刪除。 專家指出 Syrk 其實係以一隻開源勒索軟件 Hidden-Cry 為基礎修改而成，佢嘅源碼喺上年放咗喺 GitHub 俾人下載使用，所以話呢個世界真係乜都會有人分享，只要有心機喺網上面搵就得。幸運地，專家發現用嚟解鎖嘅工具同時放埋喺受害者嘅電腦入面，只要打開一個叫做…

Facebook、Twitter 上嘅假消息問題嚴重，兩間公司尋日一齊發聲明話刪除咗大量針對香港示威活動嘅假消息及假帳戶。其實唔單只佢哋，網上嘅假新聞都係無日無之，所以唔少國家都意識到單係靠呢啲外國機構嚟審查係絕對唔夠；另外如果太多國民依賴外國社交平台，亦難以達到控制言論嘅目的。 越南政府信息部部長阮猛雄（Nguyen Manh Hung）早前喺一個會議上，就向胡志明市嘅 IT 界業內人士表明，政府希望越南可以擁有自家嘅社交平台，同時亦表明政府會為本地企業提供平台去測試新技術及網絡安全環境，唔使再靠 Facebook 等社交平台，同時亦可以幫國民過濾假消息。雖然外界對越南政府呢個願景有好多懷疑，例如係咪想拑制言論等等，不過，國內就已經有唔少地道嘅社交平台出嚟，而且佢哋嘅「野心」都唔細。 Hahalolo 呢個係一間以胡志明市為基地嘅旅遊資訊社交平台，今年 6 月先開業，但目標就係喺 2024 年吸引到 20 億用家使用。 Gapo 新鮮滾熱辣喺七月先開業嘅社交平台，提供聊天及貼文功能，CEO 話好有信心喺…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

勒索軟件肆虐，美國唔少行政機關都飽受困擾，中招者糾纏於是否交付贖金嘅決定之中，正宗俾又死唔俾又死。而勒索軟件對於黑客嚟講，絕對係一件成本低、回報大嘅攻擊，加上暗網有大量勒索軟件發售，只要略懂電腦技術就可以買嚟用，然後坐喺度等收錢。 以往勒索軟件主要發生於電腦作業系統之上，好似 Windows、Linux 系統等等，不過網絡安全公司 Check Point 研究員就發現，Canon 相機嘅 PTP （Picture Transfer Protocol）數碼圖片傳輸協定存在 6 個漏洞，其中 5 個係關於 Buffer Overflow，最後一個就係暗中升級韌體。通過呢幾個漏洞，黑客可以透過 USB 或…

香港電腦保安事故協調中心（HKCERT）剛啱發表咗香港第二季《香港保安觀察報告》，統計數字顯示釣魚電郵嘅個案，數字由第一季嘅 289 宗飊升至第二季嘅 1,306 宗，升幅高達三倍，其中有四成更係假冒 apple.com 及 icloud.com 嚟發送電郵。釣魚電郵之所以能夠歷久常新、講極都有人中招，都係因為黑客用咗唔少有創意嘅方法，去減低目標人物嘅警覺性。 最近網絡安全公司 ReversingLabs 又發現咗一個新趨勢，研究員指出以往釣魚電郵嘅欺詐方法，主要係透過引誘收件人點擊電郵入面嘅連結，然後去到一個冒牌網站例如 Apple、Amazon 或各大銀行等等，部分冒牌網站會整到同官網一樣提升可信性，務求令收件人輸入登入資料，黑客就可以盜用帳戶嚟購物或攞到信用卡資料。 千方百計呃人Login 不過，最近有黑客就改為喺附件到放置一個 PDF 檔案，電郵內容係提醒收件人嘅 Amazon 帳戶有一啲稅務費用，講明唔係收費通知，只係要求用戶登入檢查。由於喺美國…