再親密的人，也不要將自己的社交平台帳戶、訂閱帳戶等等的密碼，全數向身邊的人分享，難保有天分手之後，對方會透過這些途徑，翻出你的私隱，後果可大可小，小則貪圖便宜，繼續享用你的影片或音樂串流平台服務，大則追尋你的行蹤再伏擊你……美國就有一項調查，揭露當地人每四個人便有一人，會透過密碼追蹤前度的實時地點，有三成人更指自己曾在未經對方同意下，至少一次登入對方的帳戶。看到這裏，還不快快換掉密碼，保障自己？ 該項調查由 ExpressVPN 負責，訪問了 1,506 名處於非婚姻的固定交往關係中的成年美國人，以了解他們分享個人社交平台密碼的習慣。當中情侶間最常分享的密碼是影片串流平台帳戶（78%），以 Netflix 的 86% 佔最多；64% 人有分享電子設備的密碼；而 58% 人則有分享音樂串流平台帳戶密碼，更有接近一半人有分享自己的社交平台帳戶密碼，甚至有 38% 人將電郵密碼告知另一半。 調查又披露，70% 人認為分享密碼能展現信任，而千禧一輩及 Z 世代的青少年又比上一輩更願意共享密碼。至於沒有向其他人分享密碼的人，最主要是因為在多個平台上，都採用同一帳戶名稱和密碼。而受訪者最關注的登入資訊隱私分別是電子錢包（72％）、個人電子郵件（68％）和社交媒體帳戶（68％）。 超過三分之二（36％）的受訪者表示，在與他人分享密碼後或分手後，也為曾經共享密碼的舉動感到後悔。儘管當初情到濃時，甚麼都願意向對方分享，但分手後不免會後悔，還不如在冷靜過後，把帳戶密碼順勢更改。定期改密碼除了防範黑客入侵，也防範前度的滋擾，窺探你的隱私。…

網絡攻擊愈趨複雜及精密，加上銀行業又是公認的攻擊對象，面對如此高危的環境，香港金融管理局 (HKMA) 於2016年公布網絡安全防衛計劃 (Cybersecurity Fortification Initiative， CFI)，通過三方面提升金融業的網絡攻擊防禦力。其中之一的網路防衛評估架構（Cyber Resilience Assessment Framework， C-RAF）是一套以風險為基礎的評估框架，內裏的評估項目多達400多項，主要分為三個部分。 首先是自身固有風險 (Inherent Risk Level) ，評估標準會根據銀行採用的科技、服務渠道、以往被攻擊的記錄等因素作評級(High、Medium、Low) ；其次會通過審核現有的安全措施，包括監管、偵測機制、保護工具、危機管理及應對政策，以釐定網絡安全成熟度 (Advanced、Intermediate、Baseline) 。如果審核評分未能達到固有風險評估的相對要求，銀行就要按照金管局建議的改善措施提升安全成熟度，直至合符相應的要求。如果金融業的固有風險達到中至高程度，就必須實施網絡攻擊模擬測試iCAST (Intelligence-led…

疫情推動「宅經濟」，加速企業雲端化進程。市場研究機構 Gartner 估測，2020 年全球雲端運算市場估值達 2,498 億玩，預計 22 年升最少 25％ 至 3,312 億美元，所以在經濟低迷下，雲端服務板塊股價逆市攀升。雲計算服務平台 Nutanix 詢問 650 位 IT 決策人，95％ 認為混合雲上的持續性 IT…

APT (Advanced Persistent Threat, 先進持續威脅) 是專門形容以情報收集為目標、受國家資助的黑客團隊所發動的攻擊。這些攻擊以隱密性優先，主力入侵其他國家的政府機構或企業，並不會長期存在於受感染的電腦設備內，而且運作時間有限，以減少被網絡安全工具發現的機會。而網絡安全公司 ESET 今次調查的 APT 團隊 XDSpy ，其隱密手段可謂非常高超，不單在首次曝光後瞬即再度消失，在專家追查下，才發現這團隊已運作了整整 9 年！雖然專攻白羅斯、俄羅斯、烏克蘭等國家，但專家也未能斷言其他地區國家未曾受過攻擊，只是沒有留下網絡線索。 XDSpy 的行蹤首次曝光，源於白羅斯 CERT 網絡安全事故協調組織發出的警報。 ESET 專家跟進調查後，顯示 XDSpy…

網絡安全研究人員披露常見防毒解決方案中，所發現的漏洞，竟然提升了黑客特權，令惡意軟件能夠在入侵系統後橫行！CyberArk Labs 一份報告指出，高特權經常與反惡意軟件產品有關聯，使它們更易受檔案攻擊，繼而令惡意軟件在系統上獲得更高權限。這些受影響的防病毒解決方案，來自 Kaspersky、McAfee、Symantec、Fortinet、Check Point、Trend Micro、Avira 和 Microsoft Defende，現時每個解決方案均已由各自的供應商修復。 這些漏洞中最嚴重的是黑客能在隨意在不同位置刪除系統中的檔案，或者造成檔案損毁。根據 CyberArk 研究，這些錯誤是由 Windows 的「C：\ ProgramData」文件夾的默認 DACL（Discretionary Access Control Lists）所造成，令用戶在程序存取數據，無需其他權限。所以當每個用戶都有在基本目錄（Base level…

千萬不要低估一張相的威力，原來早在今年春季之前，Instagram用家的手機，只要經任何途徑例如電郵、社交平台、即時通訊程式收到一張「加工」相片，不單只可以被奪取帳戶，更可控制你的手機成為監察工具，而且iOS及Android裝置同樣受影響，認真脆弱。 先旨聲明， Facebook 在收到及確認 Check Point 專家 Gal Elbaz 的發現後，已經在今年春季為Instagram推出修補檔案，所以現時大家已不會再因這漏洞遭殃。而出事原因，在於 Instagram 採用的第三方 JPEG 解碼器 Mozjpeg 存有緩衝區溢出（heap buffer overflow）漏洞，當手機相簿內儲存了黑客的特製相片， Instagram 用家又準備上載新相而於…

一場疫症，令工作模式、生態來個大變身，很多常規的訓練或技術都因時改變；而網絡安全相關的訓練，也需重新啟動接軌，以增強效率。有研究指出，針對釣魚郵件的應對訓練減少，辨識能力會隨時間下降，一個不留神就大件事。USENIX SOUPS上個月舉行的安全會議上，建議讓員工在釣魚行為的安全意識方面的訓練，每半年一次。 由於德國公共行政部門下的組織機構員工，需要進行強制性網絡釣魚意識培訓，當地多間大學因利成便，向409名隸屬國家地理信息及狀況部門 (State Office for Geoinformation and State Survey, SOGSS) 人員進行研究，以了解他們的訓練成效，以及他們的辨識能力會否隨時間而下降。這班受訪人員分成5個組別，並按他們接受釣魚意識訓練後4個月、6個月、8個月、10個月及12個月作測試。 研究人員發現接受測試的員工中，在接受訓練課程4個月後，仍能準確辨別釣魚電郵，但在接受訓練課程6個月或以上的群組，就需要重新再接受訓練。與此同時，研究小組亦設置四種形式「補習班」，包括文本、影片、互動例子、短文，為這班受訪者在受訓後6個月後及12個月後，補充防釣魚知識。四種補習班的內容中，以影片及互動例子效果最顯著，影響力能維持至少6個月。 學者總結出持續讓員工接受釣魚辨識訓練，能有效地協助其所屬部門阻擋部分攻擊，只要定期每6個月進行重複的訓練，並交替以不同的方式如影片及互動例子等，便能持之有效。 資料來源：https://zd.net/3mPZmog

為求保障，網絡安全產品服務不可或缺。然而，所有網絡安全背後的 final boss，始終是背後操控一切的人類。KnowBe4 與 SoftwareOne 聯合主辦的網絡研討會，將探討社會工程師及騙徒如何設局，或以不同手段誘使受害人順從吩咐，讓你識破詭計，掌握 OODA (Observe, Orient, Decide, Act)循環方法，免墮陷阱！ 是次 Webinar 由全球最大的「安全意識培訓平台」供應商 KnowBe4 亞太區網絡安全意識倡導者 Jacqueline Jayne 及 SoftwareONE…

很多人、事、計劃因疫情而流逝，但又有少數事強勢回歸，QR Code 就係好例子。廿年歷史以上的進取企業，相信 Archive 都有至少一份 QR Code Proposal，不過當年瞬間被社交平台與各種無線傳輸技術淹沒，淪為倉管，直到社交距離成為 New Normal，QR Code 重出江湖，擔當企業 Digitization 的一環，讓消費者 Access 餐廳 Menu 或購物 Coupon。眼見 QR…

遙距工作可謂推動將工作文件放在雲端，是疫情下的新常態。除了方便工作之外，網絡安全技術公司Centrify 早前訪問英國200名企業決策者，當中有過半受訪企業在疫情爆發初期，因採用雲端系統，而令公司不至於倒閉，能維持正常運作。受訪的決策者中，有6成人更指將會在雲端科技基建中，大大地投放資金發展。 英國三月時因應疫情推出封鎖措施，要求企業關閉辦公室以及准許員工在家工作。為防公司停擺，許多企業即轉用雲端服務，讓員工可以輕鬆登入公司系統及使用日常辦公資源。不過，當所有東西放上雲端，意味著網絡危機亦會隨之而增，39%受訪者表示疫情暴露了公司網絡安全的巨大漏洞，更有超過一半人認為在家工作難以判斷冒充員工的黑客。 Centify 的副總裁Andy Heather 表示，要解決使用雲端系統工作的安全問題，應將雲端使用權限縮到最小，並只准許員工以剛剛好的權限取用企業在雲端上的資源並完成工作。現時對訪問權限的控制，讓企業能夠在雲端環境中進行遠程操作，同時可標記內部威脅，再加以阻止和消除。 資料來源：https://bit.ly/30dqaW1