酒店連鎖巨頭萬豪國際集團 （Marriott International）喺 2018 年因為自爆因黑客入侵，導致 3.83 億條客人訂房記錄外洩，結果被英國信息專員辦公室（ICO）判罰 1.25 億美元巨額罰款。以為「經一事、蔡一智」？實情係其他酒店業對手要請小鳳姐出場先真！ 唔係愚人節，萬豪國際尋日公布，喺今年 2 月尾發現，Marriott Bonvoy 會籍內嘅客人資料，一共有 520 萬條被非法獲取！由萬豪向受影響嘅客戶電郵內顯示，今次事故係由旗下獲特許經營權業務嘅兩位員工，以佢哋嘅帳戶登入系統而成功讀取，雖然現階段未知到底係員工親手做定係因為帳戶被盜用，但萬豪已即時停止咗兩個帳戶嘅登入權限，同時再展開調查。 經初步核實後，萬豪相信今次外洩嘅會籍資訊並唔包括會員嘅信用卡及身份證明文件資料，但就有以下資訊： 聯絡資料：姓名、地址、電郵地址、電話會籍資料：帳戶號碼及積分，但不含密碼額外資料：公司名稱、性別、出生日期及月份合作伙伴：相關嘅airline loyalty計劃帳戶號碼個人喜好：住房及語言喜好 自助檢查 萬豪已即時發電郵通知受影響會員，同時要求佢哋重設密碼或啟用多重登入驗證。另外，亦設立咗一個自助檢查網頁，如果擔心自己受今次事故影響而又無收到電郵，就可以要去輸入返個人資料檢查。而受影響客戶，萬豪亦會提供一年免費…

【Microsoft Online Tech Forum】Low-code 可成事 Azure Synapse 機器學習簡易接通分散數據 – 網上報名：https://bit.ly/3awZSRJ 不少人都知道 Data 的重要性，但想利用手頭上數據，結合其他公開數據進行分析，實在談何容易？單是要將不同來源、格式的數據匯入一併使用，已經令數據工程師（Data Engineer）叫苦連天，更遑論完全不懂使用諸如 SQL、Python、Scala 等程式語言的用家。Microsoft 於去年推出的 Azure Synpase Analytics，就是一款 code…

以為雙重驗證碼（Two Factor Authentication, 2FA）好安全？魔高一丈嘅黑客已經成功破解，所有 Andriod 用戶嘅帳戶都有極大被盜用風險！ TrickBot 自 2016 年被發現至今，一直係最活躍嘅銀行木馬病毒。IBM X-Force 研究團隊最近公布 TrickBot 正利用一款 Andriod 惡意軟件 Trickmo，順利竊取多間銀行發出嘅雙重認證碼，竊取用家交易認證碼。 專攻德國銀行用戶 根據 IBM…

【網絡運程七宜七忌】之（七）以快打慢。一掃知宜忌，免費試用 : https://bit.ly/2R0EwEP 宜：以快打慢 忌：溫溫吞吞 玄機詩：快速搜證堵漏洞 業務中斷減損失 電郵防護講求快、狠、準，只要能夠及時發現惡意電郵，才能阻止黑客攻擊擴散至公司網絡。不過，調查顯示約八成機構平均需使用6小時去處理有問題的電郵，清晰掌握惡意電郵在內部網絡的感染途徑及範圍，效率可謂非常之低⋯⋯ Barracuda 的 Forensics and Incident Response（FIR）服務，便利用先進的威脅辨識技術，主動調查各電郵帳戶的安全風險，以及偵測正在接收或已接收的電郵內有否存在惡意連結或附件。一旦發現惡意攻擊，便會自動封鎖同一發件人的所有郵件進行分析，並調查受影響帳戶的活動記錄，了解公司內部網絡受影響的範圍，即時作出報告及按照預設政策執行維護措施，例如發出電郵指示受影響帳戶更改密碼及其他設定等，大大減少惡意攻擊的破壞力，提高修復效率之餘，同時將潛在的損害減到最低。 相關資料：https://lnkd.in/g3RYtfh FIR：可以通過從前的威脅響應中收集的情報主動識別安全威脅，並識別出企業中最易受攻擊的用戶。快速攻擊響應和停止攻擊損害，大大提高了修復效率。

雖然 Google Play Store 嘅 app 都唔係百分百安全，但起碼叫做有人把關，而第三方 app store 甚至來源不明嘅 apk，危險程度就非常之高，所以一直都呼籲 Android 用家唔好安裝 Play Store 以外嘅 app。不過，黑客總係可以利用人心漏洞，例如最近好多人想好容易咁掌握最新肺炎疫情資訊，所以黑客就整咗隻 CovidLock 手機app 出嚟，話保證睇到最新情報，結果有…

如果你係 Toyota Auris、Camry、Corolla、Hi-ace、Hilux、Land Cruiser、Yaris 嘅車主，又或係 Hyundai IX20 、I40，Kia Rio、Soul、Optima等型號嘅車主，咁就唔好彩喇，你架車嘅原廠防盜有漏洞，隨時有可能俾人偷走部車，快啲買返個軚鎖啦！ 之前我哋都報導過採用 Keyless Go 汽車系統嘅弱點，就係罪犯可以透過放大車匙嘅訊號，甚至以接力形式拉長訊號傳送距離，令佢哋唔需要偷或複製車匙，就可以遙距解鎖車門及偷車。咁係咪傳統電子式車匙就穩陣啲呢？最近比利時及英國嘅研究員就發現，Toyota、Hyundai、Kia 旗下部分車款，原來可以好容易俾罪犯破解電子式車匙內嘅解鎖碼，解除車身防盜系統運作。受影響嘅車款有好多，可以參考下面嘅附表。 呢一批車原來都有一個共通點，就係防盜系統採用咗 Texas Instruments 嘅加密系統 DST80。不過，又唔好以為係呢套系統有漏洞喎，只不過係上述三間車廠喺應用呢套系統嘅設定上各自存在漏洞。Toyota 喺產生密鑰時，係基於電子式車匙嘅…

隨著 5G 及 Wi-Fi 6 新一代流動通訊及無線網絡制式上馬，突破了從前的傳輸速度及頻寬的限制；更被視為推動第四代工業革命開展的核心一環，有利於物聯網（Internet of Things, IoT）技術應用及發展，使利益隨時獲利倍翻。現時對IoT裝置缺乏統一的規格及監管，部分生產商為了搶銷量降成本，退而求其次地犧牲網絡安全性，卻令 IoT裝置安全漏洞百出。企業要借助IoT拓展業務就不能過於大意，否則便有如大開中門，「邀請」黑客隨意出入。 物聯網普及 提升自動化及數據分析 IoT的應用層面非常廣泛，例如網絡監控鏡頭、溫度及濕度感應器、防漏水感應器、智能門鎖、電力監測系統、智能燈光系統等，最大優點是可讓作業自動化完成，減少人力成本。此外，IoT 應用亦逐漸與傳統的 IT 系統結合，包括操作型科技系統 (Operation Technology, OT）、工業控制系統（Industrial Control…

唔少人去餐廳或 cafe 嗰陣，都習慣將手機放喺枱面，方便隨時檢查下有無短訊或接聽來電。而為咗私隱問題，通常都會將屏幕朝下，咁就唔怕其他人（特別係另一半）睇到自己同邊個傳緊短訊，甚至係訊息內容啦！不過，有網絡安全專家指出如果手機啟動咗語音助手功能，放喺枱面呢個行為已足夠俾有心人奪取你部手機嘅控制權，暗中讀取你嘅私隱，最驚係可以用你部電話打俾其他人傾偈，而你係完全唔會發現㗎！ 發現呢個漏洞嘅研究員，係來自華盛頓大學電腦科學及工程嘅 Ning Zhang，佢稱為 Surfing Attack 所利用嘅方法，其實只係人耳聽唔到，但手機收音咪就接收到嘅高頻音效，於是就可以暗中向手機嘅語音助手發出指令，例如讀取剛收到內有雙重因素認證（2FA）碼嘅訊息、甚至係用你部手機打電話同人傾偈添。研究員試用過市面上 17 部智能電話，包括 iOS 陣營嘅 iPhone，以及 Android 陣營嘅 Samsung Galaxy 等等，佢話只要將手機放喺枱面，無論將枱用金屬、玻璃、木作為材料，甚至喺 30呎外，都一樣可以通過枱作為媒介，將高頻音效傳送過去，而且正面或反面咁擺，都完全無問題，不過屏幕朝下就更難察覺手機運作緊咁解。…

唔少人都有用過語音助手，例如 iOS 嘅 Siri，又或唔同品牌嘅智能喇叭，而相信絕大部分人都有相信經歷，就係語音助手會失驚無神跳出嚟，有時仲會自動解答一啲你無問過嘅問題，認真令人費解。有美國大學就做咗一個為期半年嘅測試，了解一下呢啲智能語音助理嘅聽力障礙到底有幾嚴重，同埋會偷錄幾耐用家嘅對話，發現有語音助理一日可以誤啟 19 次，最長仲會偷錄 43 秒音效添！ 今次呢個測試係由美國東北大學學者主導，首先佢哋搵嚟五部智能喇叭，包括 Google Home Mini、Apple HomePod、Harman Kardon Invoke by Microsoft、第二同三代 2 Amazon Echo…

除咗銀行，賭場都稱得上係另一個收埋好多錢嘅地方，如果話你知有黑客成功入侵賭場，第一個反應通常都以為係為咗偷錢。不過，竟然有黑客係為咗偷賭客資料而入侵，唔通嫌錢腥？ 根據網絡安全公司 Talent-Jump 及 Trend Micro 剛啱公布嘅調查報告，指出由上年夏季開始，已發現有一班由中國政府支援嘅黑客組織，開始向一啲網上賭博或投注網站發動攻擊，佢哋嘅目標主要係針對東南亞賭博公司；而入侵目標係瞄準資料庫及程式源碼。專家指出，呢班黑客入侵嘅手法並唔特別，只係透過魚叉式釣魚電郵（spear-phishing），引誘賭場員工開啟電郵內嘅附件，喺網站上植入後門，之後就陸續安裝各種惡意軟件，包括暴力破解工具、掃瞄 NETBIOS 伺服器工具、提升權限工具、盜取密碼或 Clipboard 資料工具等等，令佢哋可以喺內部網絡搵到想要嘅嘢。由於呢班黑客係利用 Dropbox 嚟儲存惡意軟件及 C&C 工具，所以安全專家將佢哋稱之為 DRBControl（DRopBox Control）。 以往國家支援嘅黑客組織，主要係為咗政府服務，例如有專門針對竊取高端技術嘅黑客，亦有以癱瘓目標網絡活動嘅黑客軍團，不過，專家指出今次入侵賭博網站嘅行為似乎同國家無關，好可能只係黑客嘅個人行為。事實上，網絡安全公司 FireEye 喺上年亦指出有中國支援嘅黑客組織喺工餘時間，為興趣或個人利益去發動私人攻擊。至於入侵賭博網站係咪真係同政府無關呢？我個人就有好多聯想嘞，例如係咪搜集緊某啲「賭客」嘅投注記錄，作為洗黑錢或收受利益嘅證據？無論係為國家或個人利益，攞住呢啲痛腳，回報同風險隨時好過直接偷錢多多聲㗎。…