眾多黑客攻擊中，勒索軟件（ransomware）絕對是任何人都聞風色變的一種，因為其破壞力快且狠，一中招即時會將電腦內的檔案加密上鎖；受害者即使肯交贖金，也未必能從黑客手上換回解鎖法。勒索軟件能夠如此肆虐，有專家指全因加密貨幣（cryptocurrency）的興起，讓黑客找到安全的經營模式，減少被逮捕的風險。 加密貨幣 收贖金難追蹤 根據資訊安全研究機構 CyberSecurity Venture 估計，2019 年期間，每 14 秒就會有一個機構成為勒索軟件的受害者。看似誇張，但踏入 2019 年後其實已多次發生勒索軟件事件，例如美國加州橙郡的政務機關、挪威全球最大鋁業公司之一海德魯公司（Norsk Hydro）先後中招。「近兩三年來勒索軟件個案的確大增，相信是黑客看中交易難以被追查的加密貨幣，可保障他們順利收到贖金，再加上要求的技術很低，甚至可在暗網以百多元購得勒索程式，成本低效率高，所以才會有這麼多勒索軟件攻擊出現。」本地著名研究團隊VXRL的成員 Boris So說，以往黑客都愛用 Bitcoin 收贖金，但由於現在已有可能追查出收款人錢包地址，所以黑客便轉而用 Monero（門羅幣）或 ZCash。Boris 說通常不會建議受害者交贖金，因為部分黑客根本沒有打算提供解鎖方法，例如…

以為資料庫保安好嚴密？其實盲點處處！去年資安事故中不乏大公司資料外洩，除證明黑客攻擊越趨嚴重，更證明「人類總要重複同樣的錯誤」，再大嘅團隊都有盲點。其實，不少資安事故屬於可避免的，本文內容節錄自與 IBM 香港資訊安全業務經理 Ricky Ho 嘅訪問，教你認清 5 大資料庫保安盲點，Ricky 更就 5 大盲點提供相關建議，協助大家防患於未然，學嘢喇。 5 大資料庫保安盲點。 盲點一：安全方案訊息七國咁亂 不少企業 IT 都面對一個典型狀況：IT 環境及訊息不斷變動及擴展，今日出個 App，聽日又話搞 IoT，後日就來…

駭客攻擊固然可惡，但人為的低級錯誤也本應可以避免，預防爆發一些顯而易見的危機。面對外憂內患，企業又應該如何做好資料保護措施，保障用戶個資免受駭客盜取，同時保全公司免觸犯 GDPR 而被開罰？ 一、定期更新軟體 最基本的就是定期更新軟體。駭客技術雖然日新月異，但 antivirus（防護軟體）或其他軟體同樣與時並進。每次韌體更新除了一般除錯外，也有很多是為了填補已存在的資安漏洞或防禦新型病毒而進行的。 二、加入多重身份認證或生物認證 Broken authentication 是網路資安問題的第二大主因，而要做好身份認證這一步驟，除了傳統輸入密碼以外，現時已經有很多加強保安的驗證方式，比如雙重認證 (Two-factor Authentication, 2FA) 讓用戶輸入密碼後需要加上第二重認證步驟，常見的工具有： TOTP (Time-Based One Time Password)：透過時間因素產生不一樣的一次性密碼，像是 Google…

倒賣之王，長老拜服 在近年互聯網的世界市場，以一個概念、想法、產品，用科技去顛覆舊行業，什麼共享經濟，足以令一間小小公司成為獨角獸，屢見不鮮。我對本故事主人翁，可以將同一個概念類似的產品可以賣完一次又一次，不得寫個服字。他是 DNS 倒賣之王 David Ulevitch。 大學的一年級的 DNS 小型項目終被收購 2001年，David作為華盛頓大學的一年級學生，創建了 EveryDNS。EveryDNS 是一個典型的大學科研小型項目，這項目以滿足 David 對於 Web 的 DNS 管理軟件的需求。雄心勃勃的 David 當時想成為域名系統提供商，讓用戶可免費將域名映射到網站，系統的所有運作經費完全靠捐贈資助。EveryDNS…

勒索軟件肆虐全球，著名的有 WannaCry、NotPetya、Locky、LeakerLocker 等，而 PyLocky 主要於歐洲肆虐，重災區為法國，不過 PyLocky 有英、法、韓及意大利版本，顯示此勒索軟件亦針對不同語系受害者。 透過垃圾電郵散播，能避過沙盒偵測 PyLocky 於去年發現，屬變種 Locky 勒索軟件，散播途徑主要透過垃圾電郵及釣魚電郵，誘騙受害者開始連結，觸發惡意程式。PyLocky 會進入睡眠狀態 999.999 秒或 11 日半（如受害系統記憶容量只餘 4GB 以下），以避過沙盒偵測。PyLocky 以…

上一期講過甚麼是「白帽黑客」（White Hat），是指在完全合法的情況下對系統進行攻擊，以求找出安全漏洞，令對方作出修補的黑客。我上個月剛與一位國寶級的白帽黑客見過面，並對網絡安全作深入交流。 這位高手是來自北京的陳宇森，現年只是 26 歲，臉上還有一點稚氣，但跟他溝通，卻感覺到他是非常成熟和有目標的。他除了近年在中國區的各類黑客大賽勇奪各項大獎之外，在 2016 年的全球 DEFCON CTF 黑客大賽獲得第二名，以及在 2017 年另一個全球大型黑客大賽 Pwn2Own，獲得世界第三名。年紀輕輕已在國際大賽打響名堂，實在殊不簡單。但他跟我說：往後應不會再參與同類型的比賽了。畢竟已獲過獎項，可以說是得到業界對他技術能力的肯定。 最令我欣賞的是這位年輕白帽黑客，在 2014 年已成立了安全技術公司，運用自身的專長，開發了一些高端安全產品，來應付日益複雜的黑客攻擊，並獲得一些在中國的大企業所採用。所謂「知己知彼、百戰百勝」，以黑客的思維制訂安全方案去對付黑客攻擊，從邏輯來說，應會更有效。 除了安全產品外，陳宇森也有一套獨特的技術人員培訓計劃，可以說是比較實戰型。點解？一般網絡安全培訓機構都比較學術性，市場上的安全證書如 CISSP、CISM 等，也比較着重理論。但陳宇森所提供的是一套「網絡攻防實訓平台」，內裡包括模擬訓練、線上比賽、線下實訓等。在快速多變的網絡安全領域裏，我個人也認同實戰比證書更重要，也正考慮如何把這套實戰平台引入，來提升本地網絡安全人才應對網絡攻擊的能力。

「Attitude 非常重要，團隊合作，用心學習，有時要比考到甚麼證書更重要。」差少少以為會聽到食神金句「一字記之曰：心」。一直以為網絡保安公司就是一切以科技為王，拜會 Fortinet 香港總舵手 Cherry Fung 之後，就明白一間公司除咗產品要有食力，更需要心力，要邁進管理層，真係要學下嘢。 一切從三個人開始 Fortinet 現為世界三大網路安全設備供應商之一，江湖地位超班，然而，剛落腳香港時，並非想像中的君臨天下。「我在大約八年前加入 Fortinet，當時並沒有很多人認識，公司的同事得三個人，不少人甚至以為 Fortinet 是 SME 產品品牌。」當時香港辦公室屬於 SEA（東南亞），眼見公司的其他分區成績不俗，Cherry 亦深信香港區有其潛力，一切事在人為。「我相信『人』可以 make difference。科技公司亦需要人的參與，一個 project…