不少企業也有為員工舉辦網絡安全培訓課程，以為做完就安全？可惜事與願違，有調查發現34%員工受訓後依然用紙寫低密碼，60% 員工依然接駁公共 Wi-Fi 工作。其實舉辦培訓都要成本，究竟如何才能有效地運用資源？一齊學習四個要點。 根據 TalentLMS 和 Kenna Security 一項員工網絡安全風險意識調查發現，大部分安全培訓都未能達到預期效果。調查訪問了 1,200 個美國員工，當中 69% 已接受安全培訓，除了上述學完等於無學的例子外，受訪者當中有 61% 未能通過主辦機構提供的基本安全測試。 由此可見，設計網絡安全培訓課程絕不簡單，罐頭式培訓內容未必。網絡安全專家認為安全培訓課程要有成效，不可忽略以下四點。 定期審核：做完培訓班都要有跟進，企業管理者必須安排人手定期進行內部審計，評估員工有否執行課程內容，例如檢查員工電腦有否未經批准使用的軟件、帳戶密碼是否繼續採用易於破解的組合，同時亦可留意員工工作枱上有否隨意擺放敏感度高的文件。如效果未有改善，就有可能要改課程內容或教學方法。 實用淺白：影響網絡安全培訓效率的經典原因是內容大路及充斥大量專業術語。首先如員工未能了解釣魚電郵、社交工程攻擊的意思，根本無法了解自己有可能中招的原因。另外如內容過於大路或理論化，員工亦無法將課程內容應用到實際工作上，因此導師應針對行業實況及公司文化，設計出實用淺白的教程，同時以實例進行分析，確保員工清楚掌握入侵原理。 持續培訓：培訓應定期進行，一次性課程不可能讓員工記住所有內容，最好每次課程有不同主題，加深員工印象。…

說到電腦安全，不少人都會聯想到網絡，而應用程式安全都十分重要。而被黑客成功入侵，當中有80%是來自應用程式，事實上，在程式開發初期，已可避免不少程式被入侵的機會，防範未然。 Synopsys Inc, Software Integrity Group, Regional Sales Manager John Chan 就指，隨數碼化越來越流行，應用程式對科技公司重要性越來越大，如不少軟件程式牽涉到客戶資料。他更提醒，應用程式帶來安全性及License合規性問題，都有可能令公司名譽受損，以及帶來實際經濟損失。 John Chan解釋，黑客就有機會盜取應用程式內的資料，甚至整個程式遭到綁架，嚴重者可控制整個應用程式。 於軟件開發時已做到防護 提到 Synopsys 產品特點，就是在軟件開發時，已做到防護（Shift-Left）時已能提供保安方面協助，工具亦全自動化，配合現軟件開發時分秒必爭的環境。Synopsys 亦幫助客戶在整個開發周期（Software Development…

勒索軟件攻擊持續威脅企業網絡安全，有研究指出，今年首三個月所回報的勒索軟件攻擊事故中，有超過一半是兩個網絡犯罪組織所為。究竟是哪兩個組織作惡多端？ 根據 Digital Shadows 的網絡安全研究人員於 2022 年 1 月至 2022 年 3 月期間，所記錄的勒索軟件攻擊的分析，LockBit 2.0 和 Conti 是這段期間內最活躍的兩個勒索軟件組織，他們所策動的攻擊佔全部事故的 58%。而在這兩者中，LockBit 是更極「多產」，佔勒索軟件攻擊的 38%，幾乎是…

企業遭受黑客入侵，為了確保外洩數據繼續被出售，都會採用不同方式解決問題。有外媒從最近美國法庭釋出的文件，推斷去年電訊商 T-Mobile 在發生安全事故後的處理手法，顯示即使受害者僱用專家阻止數據外洩，在付出約 20 萬美元後依然無效，始終在源頭阻截入侵，才是最有效的網絡防禦法。 外國科技網站 Motherboard 早前根據多份解封的法庭文件，重組一宗發生於去年的數據外洩案情。據文件所載，去年八月期間一個專門售賣個人私隱資料的地下網站 RaidForums 用家，在論壇上出售三千多萬筆私隱數據庫，雖然文件未有指名私隱資料來源，但就標註著資料原屬於美國一間主要電訊商。記者翻查資料推斷受害企業應為 T-Mobile，但對方一直未有對查詢作出回應。 法庭文件續透露受害電訊商曾委托第三方購買該資料庫，以免相關資料繼續流傳。受僱方於是假扮為 RaidForums 買家，先以五萬美元向對方購買資料樣本，確認資料屬實，便開價 15 萬美元買斷該資料庫，不過對方在收取合共 20 萬美元後，並未有守諾刪除資料且繼續出售，事件記錄亦到此為止。記者又再翻查資料，從去年 T-Mobile 回應數據外洩事故時的發言，推斷第三方公司應是最近剛被…

混合工作環境在疫情下盛行，企業與員工早已適應遙距辦工，打破工作空間限制的工作模式成為辦工的新常態，並預料在疫情後仍會持續。根據環球科技及業務解決方案服務供應商 NTT Ltd. 在 2021 年底發表的《環球工作場所報告》指出，90% 的受訪香港企業表示，已適應混合工作模式並重新考慮企業的 IT 安全性。然而，有 65% 的企業認為，在混合工作模式下，更難發現 IT 安全的潛在危機。究竟企業在迎接遙距辦工常態的衝擊時，要如何保障 IT 設施的安全性，避免網絡攻擊來襲？ 第五代網絡攻擊 繞過偵察衝擊企業 企業對混合工作環境的網絡安全擔憂不無道理，當現實中香港遭受第五波疫情攻擊之際，虛擬世界亦同樣面對「網絡疫情」。目前，企業正受第五代網絡攻擊（Gen-V of cyber-attack）侵擾，這些攻擊趨向複雜且入侵面廣泛，衝擊流動網絡、雲端設施、網絡，甚至能繞過偵察系統。企業實施遙距工作時，則需面對全球網絡攻擊激增的問題。由於業務數據無處不在，遙距用戶存取數據時，自然令企業受攻擊的機會大增；在遠離公司系統的保護下，不難想像攻擊會更趨頻繁。手握大量個人資料及資產數據的金融業自然首當其衝，NTT…

繼勒索軟件之後，專門竊取私人資料的惡意軟件又愈來愈流行。一款名為 BlackGuard 的同類型惡意軟件，最近成為地下討論區的焦點，因為用家只要付出 200 美元月費或 700 美元終生使用權，就可以輕易偷到各式各樣私隱資料，當中包括電子錢包登入資料、各款即時通訊軟件的通話記錄及 VPN 帳戶資料…… 勒索軟件由於要安排收取贖金的途徑，除非光顧「勒索軟件集團即服務 (RaaS)」的一站式服務，否則對於一般罪犯來說，使用勒索軟件的風險極大。相反，專門盜取私隱資料的惡意件就較適合個體戶，因為罪犯可使用它去盜取網民的加密貨幣電子錢包帳戶資料，將加密貨幣存款轉走；賊人亦可以信用卡資料進行網購或買點數卡，再加上這類惡意軟件收費平宜近人，所以亦有不少捧場客。 這次網絡安全公司 Zscaler 研究員發表的 BlackGuard 報告，就指出這款由今年一月開始，在俄羅斯地下討論區出現私隱竊取惡意軟件受到熱烈關注。它具備的功能非常廣泛，可以偷取各類瀏覽器儲存的密碼、屬於瀏覽器電子錢包擴充元件儲存的登入資料、加密貨幣電子錢包儲存的登入憑證、Outlook 電郵軟件及各款即時通訊軟件的通訊記錄、VPN 軟件的登入資料等，這些資料都會被加壓成 ZIP 檔案並上轉至黑客組織的控制中心，客戶只須繳付上述的費用，就可以登入帳戶查閱。…

投資虛擬貨幣可選擇使用冷錢包（Cold Wallet）或熱錢包（Hot Wallet）保管資產，而屬於冷錢包的硬體錢包（Hardware Wallet）由於是離線儲存裝置，相對其他線上錢包安全性較高，但不代表網絡罪犯不會以此作目標。有犯罪分子發送 Trezor 硬件錢包遭數據洩露的假消息，以竊取受害人加密貨幣錢包和儲存在內的資產。 Trezor 是一個硬件加密貨幣錢包，讓用家離線儲存加密資產，當設置新的 Trezor 錢包時，將顯示一個 12 到 24 字的 recovery seed，讓用家在設備被盜或丟失時，能恢復他們的錢包。但由於知道 recovery seed 的人就能存取錢包及存放在內的加密貨幣，因此將 recovery…

疫情放緩，政府的運動中心也相繼開放，與校友在打高爾夫打球時吹水，在疫情期間健康問題自然成為閒談的熱門話題——年紀大、機器壞是不能避免的。閒談間也講到職業與壽命的關係，校友說他的大學同學剛剛蒙主寵召，死者是一名著名的心臟病醫生，但能醫不自醫，死於心臟病。其實在資訊保安界也是一樣，愈是著名的資訊保安公司，愈是受到黑客的攻擊，應驗一句老話：「不經人黑是庸才！」。 疫情中眾多的資訊保安事件中，FireEyes 的 Solar Strom事件最為人關注，因為黑客利用 SolarWinds 產品的漏洞，對 FireEyes 公司作針對性 APT 攻擊。在 SolarWinds 供應鏈攻擊期間，Microsoft 和 Malwarebytes 兩家公司均遭到黑客的攻擊。網絡保安公司 CrowdStrike 表示，黑客以 SolarWinds 的用戶為目標，但攻擊 Microsoft 和 Malwarebytes 的事件並未成功。 但在 2021 年…

香港生產力促進局轄下的香港電腦保安事故協調中心 (HKCERT) 編制的《香港保安觀察報告》出爐，2021 第四季度報告提到，涉及香港的單一網絡保安事件宗數為 4,753，按季下跌 2.2%。其中網頁塗改按季上升 33%，釣魚網站亦按季上升 7%。 報告提到，釣魚網站事件連續四季上升，與去年同期相比，釣魚網站事件升幅達 265%。大部分釣魚網站都是以偽冒金融機構和網購平台為主，其他亦有科技公司、電子錢包、網上娛樂平台等。HKCERT 提醒，釣魚網站仿真度極高，用戶可仔細檢查網址來分辨真偽，留意英文串法、域名等。 《香港保安觀察報告》季度報告除會提供過去一季被發現曾經遭受或參與各類型網絡攻擊活動的香港聯網系統的數據外，HKCERT 指由今期開始，亦會回顧該季度所發生的重大保安事件及探討熱門保安議題，並提出易於執行的保安建議，以提升公眾的資訊保安認知的水平，増強應對有關風險的能力。 今期報告的重點包括： 2021年第四季度涉及香港的單一網絡保安事件較對上一季微跌2.2%；然而釣魚網站事件卻連續四季上升，大部份都是以偽冒金融機構和網購平台為主；利用QR code作網絡攻擊與日俱增，不法分子會循流動支付、賬戶驗證、網站瀏覽、訊息儲存四種常用的QR code應用進行攻擊；開始進行NFT(非同質化代幣)交易前，大家要考慮如何安全地儲存NFT資產，可選擇以連線錢包(熱錢包)或離線錢包(冷錢包)儲存，也可以混合使用這兩種錢包；以及常用於軟件開發的 log4j 開源軟件爆出保安漏洞，黑客可籍此發送特定的記錄檔訊息至 Log4j…

於上年 6 月首次被發現的勒索軟件Hive，短短四個月內便令 355 企業或機構成為受害者，晉身 2021 年十大賺錢勒索軟件的第 8 位。不過，南韓國民大學（Kookmin University）研究員在最新發表的報告內指出，他們已成功發現 Hive 的加密漏洞，在毋須黑客的 private key 下，可運算出原本的 master key。安全業界近來經常報捷，莫非對付勒索軟件的經驗值已累積至新高點？ 勒索軟件集團 Hive 跟其他同行一樣，都會為客戶提供「勒索軟件即服務」(RaaS)，集團提供軟件、伺服器、暗網爆料平台…