全球疫情雖然逐漸放緩，但仍有不少外國企業實施遙距工作措施，然而在家工作存在大量危機，有網絡安全研究人員更發現了數十萬個不安全伺服器、端口和雲端服務，可能導致容易被黑客入侵！ 因應疫情爆發，令企業組織和員工對雲端服務的需求增加，而這亦導致企業網絡暴露（exposed）於網絡攻擊之中。企業在疫症開始爆發時，急忙推出在家工作的措施，員工因此依賴雲端服務，包括遠程桌面協定（RDP）、虛擬專用網絡（VPN）和 Microsoft Office 365 或 Google Workspace 等應用程式套件。 雖然這種模式允許員工在傳統公司網絡以外的地方工作，但也讓網絡罪犯的多了潛在攻擊面。黑客能夠利用監控水平下降，而成功偷取用於遙距登入雲端服務的個人憑據，藉以入侵企業。 網絡安全公司 Zscaler 的安全研究人員分析了 1,500 間公司的網絡，並在 392,298 個公開的伺服器、214,230 個暴露端口和 60,572 個暴露的雲端實例發現了數十萬個漏洞，並聲稱最大的企業平均暴露…

愈來愈多人投身 YouTuber 行列，但有否想過，YouTuber 也可能成為黑客的網絡攻擊對象？近日本港便有 YouTuber 懷疑被黑客入侵帳戶，黑容除了利用其頻道進行直播，更將受害人數以百計嘔心瀝血製作的影片，一一變成不公開。受害人推斷，事件可能跟黑客盜取其 Session ID（工作階段識別碼）有關，但亦有網絡安全專家不明白，系統雙重驗證（Two-Factor Authentication, 2FA）為何未能發揮帳戶保護功效。 懷疑受到黑客攻擊的 YouTuber「希比」，在 YouTube 平台經營個人頻道「HEBEFACE」，經常製作及上傳影片，介紹港產片經典場景，頻道獲超過 6.3 萬人訂閱。希比接受本網訪問時表示，大約一星期之前，他收到粉絲通知，懷疑 HEBEFACE 頻道被入侵，他查看後發現，有人正利用 HEBEFACE 頻道進行以太坊相關的直播，「我於是馬上更改登入密碼，但之後對方仍然可以控制到我的帳戶，我更眼白白看著他將我的影片變成不公開。」希比表示，當時自己依然可以控制帳戶，包括將影片設定回公開，可見對方只入侵而沒有奪取其帳戶，情況相當特殊。…

黑客入侵企業後，平均多久才會被發現？網絡安全公司 Sophos 發表最新一份調查報告，就指出平均須 11 日才能被偵測得到。不過這只針對勒索軟件 (ransomware) 而言，如黑客以搜集機密資料為目標，現形的時間或許會更長。 早前另一間網絡安全公司 FireEye 的研究報告指出，2020 年企業偵測到入侵行為的時間，首次縮減至一個月內，達到平均約須 24 日這個好成績，較去年的 56 日大減約六成。而Sophos的研究報告看似更理想，因為平均時間進一步減至只須 11 日。不過，Sophos 專家卻先戴好頭盔，指快未必一定是好事！ Sophos 專家首先指出，他們的數據全部來自企業客戶，而在過去一年中，他們的客戶主要面對的是勒索軟件攻擊，從數字來看，差不多佔了…

用作監視子女或者配偶的應用程式，原來暗藏漏洞！防毒軟件公司 ESET 最近推出研究指，Android 的進蹤應用程式受到漏洞的威脅，並威脅受害者，有可能令受害者的私隱暴露和威脅其安全性。 ESET 研究人員表示，這類應用程式在近年變得相當流行，其開發人員多以可保護兒童作為招徠，但這些監視用的應用程式或會被第三方濫用。作案者會使用這些應用程式來監視受害者，並以之收集 GPS 位置、監視對話、取得瀏覽器歷史記錄、圖像以及儲存在設備上的其他敏感數據。研究人員分析了 86 個 Android 相關應用程式，並在 58 個應用程式中發現了逾 150 個安全漏洞，揭示受害者將面臨其他隱私和安全風險。 ESET 在此分析中，將安裝了應用程式並作遙距監視的人定義為「跟蹤者」，而「受害者」則是指被監察者通過應用程式監視的目標人物。最後，「攻擊者」則是指「跟蹤者」和「受害者」不知道存在的第三方。「攻擊者」可以利用應用程式或其相關監視服務中，所存在的安全性問題或私隱漏洞入侵。 而這個問題可能導致「攻擊者」直接接管操控用作監視「受害者」的設備，也可能上傳虛假證據以威脅受害者。研究人員按照他們為期 90…

加密貨幣 (cryptocurrency) 炒風熾熱，愈來愈多人參與其中，而要買賣各種加密貨幣，最簡單方法是使用管理 app。網絡安全服務供應商 Sophos 便發現，有黑客集團製作了 150 個以上虛假交易及管理 apps，通過不同手法吸引投資者安裝，從而盜取他們的電子錢包帳戶登入資料。有女投資者便因貪字得個貧，買樓基金一鋪清袋。 要盜取加密貨幣電子錢包帳戶，方法有很多種，比較困難的手法是入侵受害者的電腦，再於電腦的儲存數據內搜尋有關記錄。而今次 Sophos 留意到的手法就簡單得多，專家指黑客會嘗試通過不同途徑，推廣一些管理加密貨幣的手機應用 apps，例如利用社交平台賣廣告、於即時通訊工具內廣發推廣訊息，甚至發動社交工程 (social engineering) 攻擊，先與目標人物建立關係及信心，才引導對方安裝虛假 apps。 為了令目標人物更易上檔，黑客會倣製一些有名氣的手機應用 apps，由版面設計以至使用圖案，均模彷得極度逼真，然後才通過上述方法散播。Sophos 專家經深入調查後，發現當中有超過…

黑客最近又轉移目標，利用 Windows 作業系統上大部分遊戲及多媒體應用程式都會使用的 DirectX 為誘餌，將用家引導致虛假 DirectX 12 更新頁面，令對方上當安裝惡意軟件，盜取受害者電腦內的個人私隱。另外，加密貨幣近期大熱，黑客又點會放過電子錢包內的帳戶資料？ DirectX 是 Microsoft 為了方便多媒體應用程式或遊戲開發商而設，它實際上是一個 API 巨集，讓應用程式在執行時可以自由取用各種電腦硬件的功能。開發商只要使用 DirectX 技術，便可專注在開發程式上，而不用擔心用家的電腦硬件設備。由 1995 年推出至今，DirectX 共推出過不同的版本，而現時最新的正是 DirectX…

第 93 屆奧斯卡金像獎頒獎典禮揭曉得獎名單，有網絡詐騙者利用乘機出動，誘騙網民人們交上自己的個人憑證，聲稱留下資料便可收看奧斯卡提名的電影，但事實是「邊有咁大隻蛤乸隨街跳」。 戲迷們可能想趕在頒獎禮前，一次過看提名電影，增加投入度，而這些騙子亦覷準這個心態，發動攻勢。Kaspersky 上週五的一份報告公開騙子的作案手法：用戶瀏覽相關網站中的影片頭幾分鐘後，網站就會要求他們註冊個人資料，以換取繼續觀看。在註冊期間，聲稱為確認用戶的居住地區，便要求受害者輸入他們的銀行卡資料，然後錢被扣除，但電影卻沒有播放。 其中以「最佳電影」（Best Picture）被黑客利用的次數最多，電影也被用來傳播惡意軟件。在過去的一年中，Kaspersky 研究人員發現，與奧斯卡「最佳電影」類別提名的電影相關的大惡意檔案有約 80 個。其中，有 70％ 的內容是通過連結傳播，這班受害人的目的是觀看以下三部電影之一：其中以《Judas and the Black Messiah》是被濫用得最嚴重，佔惡意軟件攻擊的 27％；《Promising Young Woman》佔22％；以及《Trial of…

Facebook 用家在 app 內見到版面彈出更新 Facebook Messenger 的廣告，指可享用不少新功能，例如有哪位用家曾看過你的 posts 或 profile，對某些用家來說可能相當吸引。不過，原來廣告有可能是假，更隨時會被奪去 Facebook 帳戶。有無搞錯？無呀，因為虛假廣告連 Facebook 本身都無辦法完全攔截呀！ 網絡安全公司 Group-IB 的 Digital Risk Protection…

好多打工仔都試過貪方便上網搵「罐頭」invoices、問卷、收據來用，而有黑客集團就睇準機會，以財務文件的熱門搜尋字眼提升惡意網站的搜尋器排名，引誘企業員工下載藏有惡意程式的檔案。相關網站更多達 10 萬個，打工仔要小心！ 要入侵企業內部網絡，黑客除了採用正面攻擊，還有其他迂迴手法可以選擇。其中一個黑客集團 SolarMarker 所設的陷阱，就完全睇準打工仔貪方便心態。網絡安全公司 eSentire 研究員最新發表的報告便指出，SolarMarker 黑客深知有中小企業員工由於缺乏公司資源，向客戶提交 invoices、收據時，都會上網搜尋相關財務文件的樣本，並下載修改使用，於是他們就利用相關的財務文件字眼及 SEO（Search Engine Optimization）技術，提升惡意網站的搜尋器排名，令企業員工更容易發現這些惡意網站。 研究員指出，當企業員工下載所需的財務文件樣本時，實際上卻下載了 SolarMarker 的 RAT（Remote Access Trojan）木馬程式，為黑客打開進入公司內部網絡的方便之門，讓他們可以進一步安裝其他惡意軟件，例如勒索軟件、挖礦軟件等。其中一個受害個案，便是來自一間財務管理公司的員工，他在開啟一個從上述網站下載的 PDF…

繼 Facebook 和 LinkedIn 連環爆出數據洩漏後，最新爆出目前仍只限 iOS 用戶使用的 Clubhouse 都加入成為洩漏平台！事涉一個存有 130 萬條 Clubhouse 用戶記錄的 SQL 數據庫，而這些資料正在黑客論壇上免費洩漏。 CyberNews 報道指，這個洩漏的數據庫，包含來自 Clubhouse 用戶的個人資料，其中包括：用戶 ID、名稱、相片…