密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵，不過，事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情，換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實，就可說是其中一個網絡安全案例正確示範，企業管理者不妨參考一下。 為了保障帳戶的安全性，不少用家都會聽專家之言，起碼會為帳戶採用強密碼，即密碼結合大細楷英文字串、符號、數字，以及密碼至少有 8 個位長度。不過，有調查指現時一般人至少擁有過百過網上服務帳戶，如果密碼要夠長及複雜，而且又要為每個帳戶設立不同密碼組合，相信很少人有能力做到，於是網絡安全專家會建議網民使用密碼管理服務，例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱，但如果密碼管理服務供應商遭受入侵，用家儲存的帳戶資料便有機會一次過被盜取，所以當 LastPass 上月爆出遭入侵事故時，不少用家都相當憂慮，因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告，指出這次黑客雖然成功入侵公司的開發環境，假扮成公司其中一個開發人員並為帳戶通過多重因素驗證，不過，公司卻未有太大損失，原因主要有兩點。 首先，官方指 LastPass 有嚴格控制產品推出流程，即使黑客在這次事件中能假扮 Development Team 員工，但由於產品必須經過…

Windows、Mac 及 Linux 版 Microsoft Team App 被發現存在安全漏洞，一旦電腦被黑客入侵，又或接觸到電腦的人都可盜取相關帳戶登入資料，甚至繞過多重因素驗證 （MFA）登入受害者的 Microsoft Team 帳戶，如受害者是公司高層，黑客便可欺騙其下屬執行轉帳金錢指示，損失難以估計。 意外發現這個 Microsoft Team 漏洞的是網絡安全機構 VECTRA 的安全專家，專家在報告中指出，由於收到客戶投訴，指無法在桌面電腦版 Microsoft Team…

Symantec 網絡安全團隊 Threat Hunter Team 最新捕捉到一項新的網絡間諜行動，專門攻擊亞洲區內涉及宇航、國防、電訊及IT行業的公司。雖然現階段團隊未能確認與哪一個國家級黑客集團有關，但其入侵手法卻值得留意。 由國家支援的黑客集團，一般會以竊取機密為目的，而 Symantec 今次從受害客戶入侵個案中所發現的便屬於此類，專家估計相關攻擊至少在 2021 年初啟動，主要針對亞洲區內的上述行業。專家以發生於今年四月其中一個個案為例，展示黑客入侵手法的精密。 整個攻擊起點，由黑客利用一個由羅馬尼亞軟件公司 Softwin 開發的 BitDefender Crash Handler 防病毒軟件套件開始。黑客利用它的漏洞在公司內部網絡載入一個 .dat檔案，執行其內裡的已加密 Shellcode，從而側載…

一款保持低調的釣魚工具，最近被發現使用了極難被發現的 Browser-in-the-Browser 技術，竊取 Steam 遊戲內進階玩家的帳戶登入資料，由於並非彈出式視窗，因此不會被安全工具攔截，瀏覽器內顯示的訊息亦能製造安全假象，令目標難以察覺。 今年三月，安全研究員 mr.dox 開發了一套高性能釣魚工具，並示範了如何透過這個工具竊取 Steam、Microsoft、Google 帳戶登入資料的可行性。在相隔多月後，網絡安全公司 Group-IB 便發表了新報告，顯示利用這種技術竊取 Steam 玩家帳戶資料的方法正大行其道，而部分被竊取的高階玩家帳戶，其價值更由 10 萬美元至 30 萬美元，可見黑客憑藉這項釣魚工具的收入相當可觀。 Group-IB 專家指出，這款新的釣魚工具未有在暗網或地下討論區大肆宣傳，黑客戶而通過…

黑客專業服務例如 RaaS、DDoSaaS 等成為大趨勢，要在同業中搶到生意，必須擁有更全面功能及售後服務。網絡安全公司 Resecurity 發現一款新的 Phishing-as-a-Service 服務 EvilProxy，就聲稱可以繞過 2FA 或 MFA 驗證功能，竊取帳戶登入權限，備受暗網中人關注。 以往的 Phishing-as-a-Service 服務，主要是供應商為客戶提供客製化的釣魚電郵內容或針對不同行業的電郵樣本，又可提供乾淨的電郵伺服器以增加進入電郵信箱的機會，再進一步，甚至可提供像真度極高的釣魚網頁令收件者上當，令電腦技術不高的騙徒也可順利竊取所需的帳戶登入資料或信用卡資料。由於提供服務的供應商眾多，因此業界競爭非常激烈。網絡安全公司 Resecurity 研究員就在最近捕捉到 PHaaS 供應商 EvilProxy（又稱…

元宇宙（Metaverse）世界無邊無際，企業要開拓商機，一時之間可能亦無從入手。人工智能（A.I.）是支撐元宇宙應用的重要技術，但知易行難，很多企業在實行上都只能摸著石頭過河。DICT 數智通訊服務供應商中信國際電訊 CPC（以下簡稱 CPC）及電郵安全服務公司 Green Radar 早前便合辦了一場午餐研討會，邀請了香港應用科技研究院（ASTRI）的行政總裁，一同分享了多個「已落地」的人工智能實用個案，以及在網絡安全中擔當的重要位置。 打破專利觀念 公開技術以回饋社會 現時有關元宇宙的應用，均離不開沉浸式（immersive）體驗，以及進入 Sandbox 等虛擬遊戲世界去開拓商機。不過，香港應用科技研究院行政總裁 Dr. Denis Yip 則認為發展多年的虛擬實境（Virtual Reality）及增強實境（Augmented Reality）技術，其實早已嘗試將現實與虛擬世界結合。而且遊戲式應用只流於表面，企業應該想得更深入，才能探索到元宇宙的新應用場景。「以買賣非同質化代幣（Non-Fungible Token）為例，由於現時沒有身份驗證系統，根本無法知道實際擁有權誰屬，當持有人的個人背景模糊，這些交易數據便無法應用於數碼市場推廣。」Denis 坦言這些問題會影響到企業在元宇宙內的推廣策略，例如元宇宙內的地產商便無法將相關廣告推送給目標受眾。因此應科院現正研究一項身份驗證服務，在平衡私隱元素的情況下，讓人工智能技術標籤特定用家的背景資料，這些數據對服務供應商來說便非常寶貴。…

Facebook 及 Instagram 的名人帳戶後方都有一個小藍剔，認證其具知名度，並擁有社會影響力的名人，藍剔帳戶是名人本尊正使用的代表，這個小小的藍剔讓人趨之若鶩。但最近有一個新的 Instagram 網絡釣魚活動，被發現試圖以提供藍剔來欺騙該平台的用戶。 這個網絡釣魚活動被發現是以魚叉式電子郵件接觸收件人，聲稱 Instagram 已審查他們的帳戶，並認為他們有資格獲得藍剔徽章，並要求這些用戶立即填寫表格，並在 48 小時內領取他們的驗證徽章。即使該釣魚活動隱約有欺詐味道，但黑客決定「相信」這些 Instagram 用戶在面臨獲的藍剔的機會，會因而粗心地墮入陷阱上當。 以 AI 驅動的電子郵件安全服務 Vade 的威脅分析師，發現了相關的攻擊活動，報告提到第一批向目標發送消息的電郵，在 7 月…

元宇宙虛擬現實的世代即將降臨，疫情催化下，各行企業必須採用新興科技，驅動數碼轉型及雲端部署，確保業務可持續性。加上混合辦公模式盛行，員工使用自己的裝置（BYOD）工作極爲普遍，令攻擊面大幅增加。企業必須提升整體應變能力，以應付多方面的網絡安全挑戰。香港電訊（HKT）擁有環球合作夥伴及本地專才，結合旗下的新世代網絡安全監控中心（Next-Generation Security Operations Center, NG SOC），提供全方位網絡安全服務方案及託管服務，協助企業在安全的網絡環境下迎接數碼轉型帶來的優勢，在瞬息萬變的營商環境下依然迎難而上，保持競爭力。 嶄新託管服務 網絡防禦至全面 當數碼轉型成爲企業的首要任務時，其衍生的網絡威脅如釣魚電郵、勒索軟件、端點攻擊等亦成為企業的最大挑戰。香港電訊商業客戶業務方案及市務主管吳家隆（Steve Ng）表示，「網絡安全環境日益嚴峻，企業亦面對網絡安全專才嚴重不足的局面。HKT 早已作出策略性部署，領先同儕成立 NG SOC，除了是本地領先的ICT數碼方案供應商，同時已發展為全方位網絡安全託管服務供應商（Managed Security Services Provider, MSSP），一直緊貼市場推出多元網絡安全方案，致力協助企業成功實現數碼轉型。」 HKT 的新世代網絡安全監控中心（NG SOC）擁有…

網絡安全公司 KrebsOnSecurity 早前收到讀者報料，指收到一封非常高質素的釣魚電郵，黑客假借 PayPal 帳戶發出電郵，同時內附 PayPal 帳單，幸好收件者及早意識到是騙局，無依從指示安裝遙距支援軟件，否則就會拱手送上電腦控制權，後果不堪設想。 俗語說久病成醫，每日都收到大量釣魚電郵，按道理應該可以減低中招風險。不過，如果面對的是高質攻擊就好難講。對於一般人來說，分辨釣魚電郵的方法首先是憑感覺，例如根本沒有Amazon帳戶而又收到對方發來的電郵，代表欺詐成分愈高。其次是留意電郵內容，看看有沒有串錯字、文法不通，又或使用了低像素的公司標誌圖案。更進階的方法會查看發送地址及電郵憑證，如做齊以上步驟，應該已可過濾七至八成釣魚電郵。 而在 KrebsOnSecurity 這次接獲的舉報中，讀者面對著這封由 PayPal 發出的電郵，已經做齊上述各種安全檢查，甚至利用預覽功能檢查電郵內的連結，亦證實全部都指向P官網，就連電郵內聲稱要打開的帳單連結，亦是寄存在 PayPal 網站內。讀者於是先放心點擊連結查看帳單，而帳單內的圖片及格式亦要 PayPal 發出的沒有分別，似乎有一定可信性。由於帳戶內指收件人有一宗 600 美元交易有可疑成分，於是讀者便跟指示打至客戶服務中心。不過，接聽電話的人很快便要求這位讀者安裝遙距控制軟件，讓客服可更快協助他確認是可疑交易，幸好讀者安全意識夠高，當下便拒絕要求，再從官網登入帳戶檢查，結果發現根本沒有收到可疑交易通知，確認差點受騙。 不過，到底問題出在什麼地方？KrebsOnSecurity…

黑客集團為求成功攻擊目標會出盡法寶，Group-IB 安全研究員早前便捕捉到中國黑客集團 APT41 (又稱 Winnti)，在去年攻擊的 80 間機構中，至少成功入侵 13 間。採用的其中一個迂迴手法是將 Cobalt Strike 斬件為 154 份再加密，然後細水長流式導入目標電腦設備，非常有耐性。 Group-IB 安全研究員長時間追蹤中國國家級黑客集團 APT41 的活動，並指出過去一年是中國黑客異常活躍的一年。研究員說 APT41 主要的攻擊目標包括美國的軟件開發商及醫療機構、印度的航空公司、台灣政府機構、製造業及傳媒等，當中連國內的軟件代理亦不放過。而為了令攻擊可以更順利實行，APT41…