物聯網（IoT）產品又出事喇，不過今次無特別講明係邊個品牌嘅產品，而係有黑客喺一個知名嘅黑客討論區上，一次過將呢 51.5 萬個 IoT 裝置，包括伺服器、router 及其他 IoT 產品嘅登入名稱、密碼，連同獨立嘅 IP 位址，全部公開益街坊，點解嘅點解嘅？ 今次唔使估估吓，因為黑客本身都講咗佢點搵到呢啲資料同埋公開原因。原來搵呢啲資料並唔困難，佢只係用軟件去掃描成個互聯網上有公開到 Telnet port 位嘅連線產品，之後再用原出廠設定名稱及密碼，同埋弱密碼組合呢兩個方法，嘗試破解呢啲產品，結果就搵到呢 51.5 萬個有齊全資料嘅裝置，可以用嚟發動大規模嘅 DDoS 攻擊嘅 bot list。…

本周初，香港電腦保安事故協調中心（HKCERT）公佈了第三季保安觀察報告，相比起去年頭三季，數據顯示今年頭三季安全事故數字上升 213%，再加上物聯網（IoT）的普及必將帶來更多安全問題。為了提升企業的網絡安全意識，香港生產力促進局聯同本地十個資訊保安專業組織，舉辦一連兩天的「資訊保安高峰會2019」（Information Security Summit 2019）。 於今早揭幕的高峰會，以「使用新技術保護數據 應對網絡安全新威脅」為主題，生產力局總裁畢堅文在致辭時已指出，物聯網設備在智能製造和智慧城市上的應用普及化存在不少問題，面對網絡上愈趨猖獗及複雜的黑客挑戰，以及世界各地引入更嚴謹的個人私隱政策規管，企業必須更迫切提升自身的網絡防禦水平。 充當企業安全顧問 他續說生產力局剛推出全新顧問服務「Security-as-a-Business」（SECABiz），便是為了協助企業和軟件開發商做好系統保安；針對物聯網安全性，亦正與德國弗勞恩霍夫生產技術研究所（Fraunhofer IPT）合作制定的「工業4.0推行策略評估服務」，加入網絡保安元素。 政府資訊科技總監林偉喬先生（前排右二）、生產力局總裁畢堅文先生（前排左二）、生產力局首席數碼總監黎少斌先生（前排左一）和資訊保安高峰會2019籌委會主席Dale Johnstone先生在「資訊保安高峰會2019」開幕禮上與一眾主辦機構代表合照。 大會開幕禮今天由香港特別行政區政府資訊科技總監林偉喬先生主禮，兩天會議雲集多位來自美國、加拿大、英國、日本和本港等地的資訊保安專家，以及多家國際知名企業代表，分享資訊保安技術在物聯網、人工智能、5G等領域的應用和潛在的網絡安全威脅。生產力局亦會由十月至明年一月期間，舉辦多場工作坊，介紹雲端及流動環境的數據保安、大數據分析等範疇的最新技巧和方案。 詳情請瀏覽生產力局網站 https://www.hkpc.org/

被稱為全球現時最嚴厲的私隱保障及安全法規，歐盟《一般資料保護規則 》（GDPR） 已實施超過一年。此規則旨在為歐盟公民個人資料的儲存和處理，提供更好的保障，但仍然有許多公司未有對此嚴格遵守，當中包括歐洲以外的知名公司。 例如，美國酒店連鎖巨頭萬豪國際集團 （Marriott International）因駭客盜取了 3.83 億條客人訂房記錄，結果要面對 1.25 億美元巨額罰款；谷歌亦因其用戶意見征求政策，以及未對使用用戶信息進行足夠監管，而被罰款 5,680 萬美元。 儘管以上案件備受矚目，全球任何機構在針對或收集與歐盟成員國家人民有關的資料的行為上，亦必須嚴格遵守 GDPR，只要有任何一個客戶屬於歐盟公民，都要遵守該新法，但香港一些公司仍然以為這法規與其業務運作無關。事實上，歐盟是香港的第二大的貿易夥伴，排名僅次於中國內地；在香港，市面上更有逾 2,200 家來自歐盟國家的公司正在進行業務。 為幫助本地企業遵守 GDPR，香港電腦保安事故協調中心（HKCERT）已經找出可造成資料外洩的四種主要網絡攻擊，若採取適當的保安措施，便可以減低其影響。這些攻擊包括： 網絡釣魚攻擊：網絡釣魚是最常見的攻擊手法之一，有很高的騙取用戶憑證成功率。因此，應定期進行用戶意識培訓，以保持工作人員對可疑網站和電子郵件的高度警惕。利用系統漏洞攻擊：實施計劃周全的修補程式更新管理，包括修補程式更新週期，例如在推出到生產環境之前在預備環境進行「用戶接受度測試」（UAT），以及訂立針對終止支援的系統的適當退出計劃，對防止攻擊者通過舊版或未進行修補程式更新的系統損害公司網絡，尤關重要。若企業因一些實際的理由而無法替代舊版系統，便需要一層額外的保護（即防火牆）來控制和監視對它的訪問。來自不可信的網路的攻擊：一旦員工試圖通過公開的網絡（例如互聯網或公共 Wi-Fi）進入公司網絡，資料外洩的風險就會大大增加，例如設備丟失、會話劫持等，所以必須應用嚴格的身份驗證，例如雙重驗證、使用 VPN…

香港電腦保安事故協調中心（HKCERT）剛啱發表咗香港第二季《香港保安觀察報告》，統計數字顯示釣魚電郵嘅個案，數字由第一季嘅 289 宗飊升至第二季嘅 1,306 宗，升幅高達三倍，其中有四成更係假冒 apple.com 及 icloud.com 嚟發送電郵。釣魚電郵之所以能夠歷久常新、講極都有人中招，都係因為黑客用咗唔少有創意嘅方法，去減低目標人物嘅警覺性。 最近網絡安全公司 ReversingLabs 又發現咗一個新趨勢，研究員指出以往釣魚電郵嘅欺詐方法，主要係透過引誘收件人點擊電郵入面嘅連結，然後去到一個冒牌網站例如 Apple、Amazon 或各大銀行等等，部分冒牌網站會整到同官網一樣提升可信性，務求令收件人輸入登入資料，黑客就可以盜用帳戶嚟購物或攞到信用卡資料。 千方百計呃人Login 不過，最近有黑客就改為喺附件到放置一個 PDF 檔案，電郵內容係提醒收件人嘅 Amazon 帳戶有一啲稅務費用，講明唔係收費通知，只係要求用戶登入檢查。由於喺美國…