iOS 其中一款下載次數逾百萬的通話錄音 app 「call recorder」，被安全專家發現竟然存在身份驗證漏洞，開發商儲存於AWS雲端上的用家通話記錄及通話錄音，都可以通過修改 API 指令，被黑客隨意竊取，好兒戲喎！ ClubHouse 語音社交平台早前被爆漏洞，有心人可以闖入不同房間錄音，再將用家對話的語音檔上載網上分享。雖然用家在房間內的公開發言，都會預計有可能被錄音，所以未必有太多機密訊息，但在不知情下被竊聽，感覺始終不太愉快。不過當換轉通話錄音 app 出現安全漏洞，情況就完全不同，因為使用錄音 app 一般都有工作需要，例如記者做電話訪問、同客戶開會等等，當中總涉及一些機密資料。而 PingSafe AI 網絡安全研究員 Anand Prakash 最新發現的安全漏洞，便與 iOS 其中一款下載次數逾百萬的通話錄音…

混合辦公模式大行其道，員工可隨時隨地工作而不影響效率；但另一方面，企業要面對更多新挑戰，例如 User Data 大增、雲儲存系統的各種限制等。 今次由 VDI 專家 Amidas 及 數據管理專家 NetApp 合辦的 Webinar，將會以「VDI on Hybrid Cloud 策略」為主題，介紹如何在雲端有效運行 VDI 策略，從而做到數據保護、高擴展性、高儲存效率等，同時確保雲端及 On-premises…

慎重起見，黑客喺發動攻擊之前，好多時會用自己的電腦設備測試成效，不過，一個北韓黑客在測試後忘記關掉或刪除一個專門偷錄受害者屏幕畫面的惡意軟件，結果在發動後連自己的電腦畫面亦一併上載，成為網絡攻擊的最佳示範教材。 商業電郵詐騙 (Business Email Comprise) 主要是一項通過電郵達成的攻擊，黑客會冒充收件者的上司、生意夥伴，指示收件者匯款到虛假帳戶的操作。以往 BEC 一般會經電郵下達指令，但亦可透過電話執行。BEC 的精髓在於要取得受害者的信任，所以前期作業絕不能馬虎，必須掌握公司業務、職場人際關係甚至發件者的電郵用語習慣等大量訊息，整個攻擊過程隨時超過半年以上。根據美國 FBI 公布的數字，單是 BEC 攻擊已在 2019 年造成 17 億美元損失。 最近網絡安全公司 Sucuri 專家公布的一宗事故，就說明了雖然操作BEC攻擊的黑客大都心思細密，但總也有失手一刻。據稱一個北韓…

專門用來提升網站內容於搜尋器上排名的 Search Engine Optimization (SEO) 技術，原來亦正被黑客利用。黑客通過入侵大量伺服器及網站，操控網站的 SEO 排名，令其他網民在搜尋相關主題時更易發現被黑客操控的網站，擴大攻擊層面。 有經營網站，相信或多或少都會知道 SEO。SEO 能夠左右網站的曝光率，例如一個經優質 SEO 加持的網站內容，可讓網站在網民搜尋相關字眼時更早出現。而網絡安全公司 Sophos 的專家，最近就發現一個被命名為 Gootloader 的網絡攻擊，有黑客集團正利用 SEO 手段推廣被他們入侵了的網站，其中一個例子是當有用戶搜尋有關物業主題字眼時，Google 最先展示的搜尋結果卻竟然是一個新生嬰兒醫學機構，兩者明顯風馬牛不相及。專家說由於該網站屬於一間真正營運的企業，而且又排行於搜尋結果前列位置，某程度上加強了網民點擊進入的信心。…

一方面，遠程工作、IoTs、網民秒秒遞增；各路黑客的交流平台由 Dark Web 擴展到 Clubhouse 等不同社交平台；裝置網速工具急速演化；雲端、Hybrid Cloud、Edge Platforms 將數據進一步集中，唯獨法規與執法效率追不上時代步伐，國家隊黑客卻諷刺地例外。事實上，企業在資安上一向都靠自己，但在 COVID-19 後擔子史無前例重，2020 年末 Solarwinds 中伏，向其近 2 萬客戶無料放送 Sunburst Malware，幾多人受影響未知，但美國國務院、國防部、軍火供應商、重要電訊商與大學院校均在名單之上，美國政府矛頭指向俄羅斯，是否開打網戰大家不妨買花生，但我們先談談企業資安部署困境。如果這宗事件仍未夠警世，Cybersecutiry Ventures 報告指…

VPN 服務為網路流量進行加密，最早是用來幫助跨國企業連接世界各地的辦公室，讓不同地方的員工都可以進入公司內聯網，執行高權限的任務，並透過 VPN 連線，讓過程中傳輸的資料得到保護，安全傳輸。現時 VPN 使用普及，在疫情之下在家辦工成為趨勢，而使用 VPN 工作也相當普遍，但 VPN 技術如果沒有相應地提升，亦會帶來不少安全問題。黑客會利用 VPN 漏洞入侵企業內聯網，洩漏 VPN 用戶名稱和密碼時有發生，所以應作出適當的防護措施 。 今次研討會將介紹如何利用 Safe-T，透過採用 Software Defined Perimeter (SDP) 技術和 MFA 雙重驗證降低風險，以安全地遙距工作。 探討的議題包括： · VPN 的安全挑戰，包括身份驗證之前的訪問，橫向移動等 · VPN 的營運挑戰，包括遠程用戶的擴展問題，高營運支出等 · 如何利用現有基礎架構簡化操作達至 Zero Trust Network Access (ZTNA)…

好消息，防毒軟件公司 Kaspersky 發表的新報告顯示，DDoS 攻擊在 2020 年第四季下跌 31%！不過當中原因只是黑客集團將 botnet 資源調去挖礦，而且香港始終是全球第三大被 DDoS 攻擊的地區，企業必須趁著挖礦熱加強 DDoS 防護，以免熱潮一過會成被回馬槍攻擊。 Kaspersky 最新發表的 2020 年第四季 DDoS (分散阻斷式服務)攻擊報告，有幾項數據特別值得關注。首先是 DDoS…

Philip Hue、Amazon Kindle、Apple Watch、Google Home Voice Controller、August Smart Lock、Kuri Mobile Robot、Dyson Pure Cool Link Air Purifer、NEST T3021US Learning Thermostat、WeMo Insight…

今時今日，打仗未必一定要先出動飛機大炮，單是網絡攻擊，已經可以癱瘓一個國家的運作及情報網絡，掃除進擊的障礙物。例如美國佛羅里達州一個市鎮的輸水系統最近就被黑客入侵，黑客試圖將用作調節食水酸鹼度的化學物混合量，調高約 110 倍，如果無及時阻止，15,000 個市民就大件事喇…… 工業控制系統（Industrial Control System, ICS）掌管國家命脈，以發電網、輸水系統、運輸網絡、核電廠等設施為例，背後都必須有 ICS 管理，所以這些重要設施自然會成為攻擊目標，只要斷水斷電，國家就會陷入一片混亂及恐慌，例如烏克蘭 2016 年全國大停電 7 日，據外界估計就是受到俄羅斯國家級黑客襲擊。而今次發生在佛羅里達州 Oldsmar 市輸水廠的入侵事件，暫時未知黑客的身份及意圖，只知道黑客嘗試將混入食水調節酸鹼度的化學物氫氧化鈉的份量，由每 100 萬單位含 100，調升至 11,100，足足達…

BleepingComputer 披露，在本月初發現一款新型釣魚電郵活動，其附件含有以摩斯密碼掩藏的惡意 URL，繞過電郵安全過濾，由於過去未有同類以摩斯密碼作案的例子，因此事件被視為新型的混淆技術。這究竟是甚麼一回事呢？ BleepingComputer 2 月 2 日在外國知名論壇 Reddit，發現首則關於使用摩斯密碼的釣魚電郵，並發現大量上傳到 VirusTotal 的攻擊樣本。這次網絡釣魚攻擊，以冒充受害公司發票的電子郵件，並以 “Revenue_payment_invoice February_Wednesday 02/03/2021” 為題；電郵中含有一個 HTML 附件，其命名方式模彷受害公司的 Excel 檔發票，命名為 “[company_name]…