每逢有網絡保安事故，本地傳媒都會即時搵保安專家評論事件。這些被行家視為「傳媒好友」的專家不多，因為解答不單要快，意見亦要準確簡短，才能幫助記者搶先報導事件。如果言論能再帶有一點幽默感，自然更易成為傳媒寵兒。香港互聯網協會網絡保安及私隱小組召集人楊和生就是其中之一，原來當初他踏入電腦界全因為懶，誰不知現在卻是最忙的職業。 輸在起跑線 早於 1990 年讀大專一年級時，楊和生已開始接觸電腦，「那時讀電腦工程，喜歡寫電腦程式只因為懶，因為發現有很多重複性的工作毋須人手處理，例如要處理一大堆文件檔案的排版，其實只須編寫簡單的程式，就可交由電腦自動執行。」令他沉迷鑽研電腦程式的原因，除了他宅宅的沒有其他嗜好，還與他的電腦設備輸在起跑線有關，「以前無錢，所以第一部電腦的硬件配備比同學差很多，例如別人的電腦用 386 （Intel 處理器型號）、1MB RAM，我就只用 286 及 640KB RAM，連電腦屏幕也只得黑白。」眼見朋友的電腦可以做到很多東西，楊和生亦想試試自己那部弱弱的電腦可否做出接近的效果，所以便花了很多時間練習寫程式，蒲深水埗黃金電腦商場買書自學一些破解技術，「當時完全無黑客的概念，只是有興趣試試修改程式，例如修改電腦遊戲內的生命值、武器防具等，雖然自己完全沒有打機的嗜好……」 後來有朋友移民美國，楊和生為了保持通訊而連上互聯網，才從不同渠道認識黑客這回事，「不過那年代接觸的黑客技術並非以破壞為目的，只是大家互相分享一些程式的漏洞，例如當時互聯網供應商使用的 FreeBSD 作業系統，就有各式各樣的破解玩意，雖然有些成功有些失敗，但我已可讀取到其他用家的電郵地址及內容。」掌握到這些個人私隱，有心人其實已可利用來進行社交工程（Social Engineering）攻擊，楊和生則笑說可能自己沒有犯罪基因，所以即使讀取到伺服器內的電郵內容，也僅僅是滿足了自己的成功感，未能發現偉大的「錢途」。 大專時經常蒲黃金的結果，就讓楊和生認識了一班「砌機佬」，後來其中一個相熟的店員在商場內另起爐灶，順理成章便邀請他一同開檔。「那時賣電腦很好賺，一套電腦可賺取四成利潤，有時講價可以減到幾百蚊，不似現在只賺到百多元，想平幾蚊都難。」賣電腦的好處，就是可以接觸最新的電腦資訊，同時以平價入貨，「所以第二部電腦已是當時頂級的 486，一下子由最慢變成最快。」無論上學或兼職都與電腦有關，讓他打穩了電腦編程的根基，所以出來工作後，編寫程式的技術及速度亦較人高及快。 隱密攻擊…

三月初，一個黑客組織向以色列網站發動大規模網絡攻擊，原本呢次攻擊嘅最佳估算係將勒索軟件植入過百萬個網站之上，逼使中招者俾贖金。不過，一個錯誤嘅指令竟搞到成件事失敗收場…… 今次代號為 #OpJerusalem 嘅網絡攻擊，原定嘅劇本係透過攻擊一個為視障人士提供訪問權限嘅 nagich.com 插件服務，改寫其中嘅代碼，當瀏覽有使用呢個插件嘅網站時，就會自動跳去一個寫住 “#OpJerusalem, Jerusalem is the capital of Palestine” 嘅頁面，同時彈出要用戶安裝 “flashplayer_install.exe” 嘅通知，從而下載勒索軟件。不過，呢次攻擊最終只係按劇本嘅前半部分進行，黑客最期待嘅畫面竟然無出現。 事後據網絡保安專家嘅分析，原來黑客喺編寫惡意程式嘅時候，選擇咗向 Windows 系統用家攻擊，只要程式檢測到係 Windows…

FIDO 聯盟與 Google 剛於世界通訊大會（MWC）上宣佈 Android 取得 FIDO2 認證，用戶不再需要輸入密碼，就可以用手機及流動裝置登入 app 或網站。任何 Android 7.0 Nougat 或以上版本，更新 Google Play Services 就可以透過手機內建的指紋辨識感測器，或是 FIDO 標準的實體金鑰，登入支援…

以為資料庫保安好嚴密？其實盲點處處！去年資安事故中不乏大公司資料外洩，除證明黑客攻擊越趨嚴重，更證明「人類總要重複同樣的錯誤」，再大嘅團隊都有盲點。其實，不少資安事故屬於可避免的，本文內容節錄自與 IBM 香港資訊安全業務經理 Ricky Ho 嘅訪問，教你認清 5 大資料庫保安盲點，Ricky 更就 5 大盲點提供相關建議，協助大家防患於未然，學嘢喇。 5 大資料庫保安盲點。 盲點一：安全方案訊息七國咁亂 不少企業 IT 都面對一個典型狀況：IT 環境及訊息不斷變動及擴展，今日出個 App，聽日又話搞 IoT，後日就來…

無檔案惡意程式日益嚴重，多少因為現今的防毒工具偵測能力越來越強，相對而言無檔案惡意程式較難被偵測，而且可長期匿藏兼無限復活，非常難纏。根據報導，針對企業的攻擊得逞案例當中，有 77% 是無檔案惡意程式攻擊，大家要認識這種攻擊方法，加倍提防。 甚麼是無檔案惡意程式 無檔案惡意程式（Fileless Malware）是一種利用既有軟件、被認可的應用程式如 Microsoft Word、Flash、Adobe PDF Reader、JavaScript 甚或系統工具如 Microsoft Windows Management Instrumentation (WMI) 、PowerShell 之類去執行惡意行動的網絡攻擊。它不似傳統的惡意程式那樣帶有明顯特徵，亦不以電腦硬盤為目標，尤其針對記憶體進行攻擊，其隱蔽性極高、匿藏期長，一般 whitelisting、signature detection、hardware…

壓縮工具 WinRAR 被揭發嚴重漏洞，有機會讓黑客入侵並完全控制受害者電腦，而且該漏洞已經存在超過 19 年，所有 WinRAR 版本均有此漏洞，影響全球近 5 億用戶，各位務必注意！ WinRAR 是專為 Wndows 打造嘅壓縮工具，用戶可以用來壓縮資料與歸檔打包，能建立 RAR 及 ZIP 檔案，更可解壓 ACE、CAB、ISO、XZ、ZIP、7z 等格式檔案。WinRAR 支援…

日本的情報通信研究機構（National Institute of Information and Communications Technology，NICT）、Panasonic 連同廣島大學於 2 月 19 日宣布成功研發出一款超高速無線通訊晶片（Terahertz (THz) Transceiver），傳輸及接收能力達到 80 Gbps！超越即將來臨嘅 5G 規範！ Terahertz Band（兆赫波段）為未來超高速無線通訊領域，跟據…

繼 GDPR 之後，歐洲再有安全守則出台，由歐洲電信標準協會（ETSI）為 IoT 訂立全球通用安全標準，旨在提升業界安全防線，保障用戶私隱。 新鮮出爐嘅 IoT 安全標準檔案為 《ETSI TS 103 645》，由歐洲電信標準協會（European Telecommunications Standards Institute，ETSI）發布，此標準以英國去年就 IoT 安全發表的建議書為基礎，而英國 BSI（British Standards Institution）去年已就…

小米米家電動滑板車以「自由穿行，一路美景」、「簡約幾何設計，1 分鐘輕鬆上手」、「30 公里超長續航」、「雙重剎車系統」、「便攜折疊」為賣點，售價 1,999 人仔，非常吸引。這款平靚正電動滑板車亦廣受用家愛戴，國內外米粉以此自由穿行，一路美景。 不過，《The Hacker News》收到手機安全公司 Zimperium 的報告，發現小米米家電動滑板車 M365 存漏洞，可讓黑客輕易控制電動滑板車，危害駕駛者性命。 隨 M365 電動滑板車使用的手機程式「智能管家」可以通過藍芽連接，化為儀表板，對當前騎行速度、剩餘電量等進行實時查看，對滑板車進行固件升級。手機程式亦可設定密碼、反偷車，更可發出指令，匹配設定的速度，作定速巡航。 「智能管家」可以通過藍芽連接電動滑板車，化為儀表板。 不過，研究員發現密碼設定只在手機程式端有效，而滑板車端並不作憑證狀態追蹤。如電動滑板車密碼設定不當，可讓黑客於 100 米範圍以藍芽發出未受權的指令。如黑客心懷不軌，可以發出非常危險的指令，令電動滑板車突然鎖車、加速、剎車，亦可載入惡意程式完全控制電動滑板車。 Zimperium…

全數被刪！收費電郵服務供應商 VFEmail 周一於網站首頁公告，遭受災難性催毀！所有資料通通被洗劫一空！ VFEmail 官網聲稱遭受一名黑客「[email protected]」攻擊，並將於美國的所有資料包括原始資料及備份資料全數刪掉，現時電郵系統已重啟，唯只能提供非常基本的功能。VFEmail 已積極搶修，但似乎未能救回資料，以及用戶信心。 美國用戶開啟電子郵箱，將會發現郵箱空空如也！ 網站首頁以紅色字款標示遭受洗劫，並宣告新電郵系統已重啟，新收件箱、Webmail、Note-mailbox 已從新運作。但只能提供基本功能，並非有過瀘功能，沒有垃圾郵件過濾，用戶可自行啟動 Horde 過濾。VFEmail 警告免費用戶切勿嘗試發送電郵！亦無法保證美國用戶現有的電郵情況。如有電郵客戶，亦切勿嘗試搶救！如果將電郵客戶重新聯繫到新郵箱，本地郵箱即會遺失！網站警告各位「後果自負」！ VFEmail 官網首頁公告災難。 據報導，VFEmail 亦未收過任何勒索或警告，攻擊是在無任何預警之下的突襲。 VFEmail 由 Rick Romero…