不少專家均建議企業啟用多重因素驗證 ( MFA )，以保障員工帳戶的安全。不過，MFA 並非萬能，因為決策權始終握在用家手上。有黑客集團就將釣魚攻擊結合疲勞轟炸手段，令用家自動確認可疑的 MFA 驗證，例如 Uber 被入侵事件就是其中一個案例。 Call 車 app Uber 的員工帳戶早前被入侵，導致內部應用服務被塗改內容，以及發生數據外洩。事後黑客集團 Lapsus$ 其中一位聲稱 18 歲的成員承認責任，指入侵 Uber 只因對方的網絡安全措施非常弱。經調查後，網絡安全專家說這次事件相信是對方從暗網取得相關員工的帳戶登入資料，然後再利用釣魚攻擊，假扮成…

俄羅斯防毒軟件公司 Kaspersky 警告，一個擁有 18 萬訂戶的香港 YouTube 頻道，正被利用推廣一個內含惡意功能的 Tor 瀏覽器，一旦用家跟著連結下載及安裝，除了會將輸入的帳戶資料及密碼上傳給黑客，還會進一步引入監控軟件，令使用 Tor 瀏覽器隱藏身份上網的意義全失！ Tor 的全寫為 The Orion Router，又稱為洋葱網絡，是美國海軍研究所於上世紀 90 年代開發出來，用於令美國軍方及情報人員可在網絡上匿名通訊，其後在 2006 年交由…

有報道指新一代學生好醒，識得用 AI 文章產生器去自動完成大業，如果事後用心執一執少少字眼，就好易瞞天過海。事實上，現時 AI 文章產生器具備SEO優化技術，用途非常廣泛，吸引傳媒及網媒使用來寫新聞或提升文章的 SEO ，取代人力。 固名思義，AI 文章產生器就是利用人工智能技術去寫作文章，這類 AI 主要是透過匯入大量文本數據進行訓練，讓人工智能掌握如何創作一篇有內容的文章。一般來說，AI 文章產生器會使用 GPT-3 等生成型變換模型作核心，例如 Rytr、ContentBot，便是採用了 GPT-3 人工智能技術。 事實上，現時已有少數媒體利用相關技術製作即時新聞報道，好處是速度快，其次是這些 AI 文章產生器更具備…

因為電郵所用的SMTP協議有不需確認身份的先天缺陷，所以要假冒成任何身份寄送電子郵件其實不難，而這個缺陷往往就被黑客利用及進行詐騙。 BEC 三大類 近年十分猖獗的變臉詐騙攻擊（Business Email Compromise，簡稱 BEC）所帶來的威脅實在不能低估，而攻擊手法大致分為三類： 寄件人偽裝 – 透過假冒而獲取收件人的信任，用不同的藉口來騙取企業相關資料或匯款。連結偽裝 – 以假冒寄件人的身份發出電郵，誘使收件人點擊連結。這亦稱為釣魚信件，讓收件人點選之後即會連結到外部的惡意連結，藉此取得收件人相關資料。附件偽裝 – 也是以假冒寄件人的身份發出電郵，再搭配有病毒的附件。一旦附件被下載及執行，便進行勒索或各式各樣的攻擊，來取得所需利益。 抵禦 BEC 的安全方案 除了一般的電郵安全培訓、員工意識測試、定期更換電郵帳號密碼之外；在選擇電郵安全方案時，除了防病毒、防垃圾電郵功能外， 針對以下一些抵禦 BEC…

「網絡健康」對青少年身心發展的影響力無遠弗屆，因此 Microsoft 聯同 HKBN 香港寬頻 一齊舉辦微軟香港 x 香港寛頻「數碼世界大冒險」義工服務日，向來自荃灣明愛社區中心的 20 名中小學生，透過一系列遊戲及活動灌輸網絡健康及數碼身分的概念，希望有助一班社會未來棟樑在數碼世界中茁壯成長！ （資料及圖片來自 Microsoft ）

DDoS（分散式阻斷服務）的規模日益龐大，每秒攻擊次數屢創新高，不過一般都只會持續數秒至幾分鐘。不過，網絡安全公司 Imperva 最新為客戶攔截反常 DDoS 攻擊，不單只每秒訪問次數接近現時最高紀錄，持續時間更非常誇張，對企業造成極大危機。 DDoS 攻擊的全名是 Distributed Denial of Service attack，中文稱之為分散式阻斷服務攻擊，通過不同攻擊手段消耗目標網站、連線遊戲或網上應用服務的運算或網絡資源，最終陷入癱瘓狀況。相對於 DoS 攻擊（Denial of Service attack）的單一攻擊來源，發動 DDoS 的攻擊者會利用多個來源，例如最常見的是利用受感染電腦組成的僵屍網絡（botnet）大軍。不過，近年黑客使用先進的放大（Amplification）技術，只須少量僵屍裝置便能製造龐大的無效訪問要求，例如早在 6…

Kaspersky 網絡安全專家發現新的網絡攻擊手法，它主要通過在受害者的 YouTube 頻道上載遊戲推廣短片，引誘對方的粉絲下載多合一功能惡意檔案。有別於其他同類型攻擊，這款全新惡意軟件有自動擴散能力，相信 YouTube 將會愈來愈多這類假宣傳片出現。 防毒軟件公司 Kaspersky 最新捕捉到一種全新的惡意攻擊手法，它的攻擊流程可以分為兩部分。專家指黑客第一步會攻擊 YouTuber，暗中取得其帳戶後，便會借用受害者的身份在其頻道上傳短片，內容主要是推廣連線遊戲如 FIFA、Final Fantasy、Forza Horizon 等遊戲的破解版或作弊程式，引誘頻道的追隨者下載及安裝檔案。事實上，專家指這個檔案卻有如病毒雞尾酒，除了有最有人氣的資料盜竊軟件 RedLine，還有一個挖礦程式，暗中借受害者的電腦賺錢。而為了減少被察覺的風險，專家指黑客利用 Nirsoft NirCmd 工具，隱藏所有執行檔及涉及的彈出式視窗，而且亦不會在桌面或 Taskbar 上留下有任何存在證明。…

ACW 於上周五聯同 Veritas 及 ExaGrid 合辦網上研討會，介紹 Veritas 最新版本的 Backup Exec 如何聯同 ExaGrid 的安全架構及 Time-Lock 功能，去幫企業管理信息風險並增加面對勒索軟件時的彈性，同時確保數據完整性。 登記重溫是次網絡研討會：https://bit.ly/3xTBck6 （資料及圖片來自 ACW）

密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵，不過，事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情，換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實，就可說是其中一個網絡安全案例正確示範，企業管理者不妨參考一下。 為了保障帳戶的安全性，不少用家都會聽專家之言，起碼會為帳戶採用強密碼，即密碼結合大細楷英文字串、符號、數字，以及密碼至少有 8 個位長度。不過，有調查指現時一般人至少擁有過百過網上服務帳戶，如果密碼要夠長及複雜，而且又要為每個帳戶設立不同密碼組合，相信很少人有能力做到，於是網絡安全專家會建議網民使用密碼管理服務，例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱，但如果密碼管理服務供應商遭受入侵，用家儲存的帳戶資料便有機會一次過被盜取，所以當 LastPass 上月爆出遭入侵事故時，不少用家都相當憂慮，因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告，指出這次黑客雖然成功入侵公司的開發環境，假扮成公司其中一個開發人員並為帳戶通過多重因素驗證，不過，公司卻未有太大損失，原因主要有兩點。 首先，官方指 LastPass 有嚴格控制產品推出流程，即使黑客在這次事件中能假扮 Development Team 員工，但由於產品必須經過…

雖然近年即時通訊 app 的選擇增多，不過，Meta 旗下的 WhatsApp 在用家數量方面始終佔有優勢，因此自然有較多騙徒利用來犯案。網絡安全公司 Cygenta 專家早前便列舉三種熱門詐騙手法，大家不妨同朋友分享，減少被騙機會。 扮熟陷阱：騙徒會假扮成目標的家人或愛人，聲稱因為遺失了電話而暫時用新號碼開設帳戶，經過一輪溝通搏取目標信任後，就會慌稱自己有金錢需要，說服目標轉帳金錢。雖然聽落好似好離譜，不過實際上並不罕有，例如假扮成目標的上司要求買點數卡的案例，就經常發生。 雙重驗證陷阱：為了保障帳戶安全，不少 WhatsApp 用家都啟動了 2FA 雙重驗證功能，登入時必須額外輸入經 SMS 發送的驗證碼，才能登入帳戶。不過，有騙徒在奪取了其中一個 WhatsApp 帳戶後，便會讀取受害者的聯絡人清單資料尋找下一目標，然後利用對方顯示的手提號碼重新登記帳戶，並以「朋友」身份向目標發送訊息，指錯誤將2FA驗證碼發送到對方帳戶，騙取目標提供驗證碼，從而奪取帳戶並重複犯案手法。 限時陷阱：騙徒會向特定目標或漁翁撒網式發出訊息，利用不同藉口引誘對方點擊連結或通過連結安裝惡意軟件。視乎當時社會熱門話題，魚餌或有差別，例如早兩年新冠疫情剛爆發，騙徒會發出感染 COVID-19…