欺詐之神話而家呃人，容易過 50 年前 4000 倍，唔好問點解，信就得。 《Catch Me if You Can》（港譯《捉智雙雄》）呢套經典犯罪電影相信好多人都睇過，喺戲內由里安納度狄卡比奧（Leonardo DiCaprio）飾演嘅欺詐犯 Frank Abagnale，的確真有其人，多次利用人類心理漏洞扮成法語教師、醫生、律師、機師，又涉及偽造支票，被 FBI 逮捕及服役後，轉而為 FBI 服務及開設安全顧問公司，以自己嘅豐富詐騙經驗為企業進行培訓。 資訊發達「商機」處處 Frank 最近接受傳媒訪問時首先就話，造成資料外洩嘅唔係黑客，製造漏洞嘅永遠係受害者自己或公司員工，例如唔轉密碼、將唔應該拎走嘅工作帶返屋企做、無及時更新系統檔案、無做清楚身份核對就信以為真……各式各樣嘅前設令到人類掉以輕心，以為黑客唔會攻擊自己。Frank…

Google Assistant、Amazon Alexa、蘋果 Siri 及微軟 Cortana 相繼被揭發將用戶對話語音檔交予第三方，作轉錄抄寫並進行分析。剛剛 Facebook 亦承認，將 Messenger 用戶嘅語音通話交出去轉錄抄寫，美國五大科技公司一個不漏，齊晒！唔想私隱外洩？都係快快刪除語音助理通話紀錄啦！ Amazon 及 Google 早於年初被揭發同類問題，其 Echo 及 Google Assistant 嘅用戶對話語音檔被送去分析，雖然所有錄音都係喺功能啟動後先被記錄，但其內容仍然非常私人，如包括醫療資訊、毒品交易乃至親密情節。由於私隱問題備受爭議，Google、Apple…

之前都報導過唔少關於 Google Play Store 內嘅 app 藏有惡意程式嘅消息，呢種由源頭落毒嘅手法，令到好多人都唔為意中咗毒。理解嘅，因為大家傾向相信 Play Store 內嘅應用軟件係安全，Google 一定會檢查清楚先俾佢上架，再加上自己已經無安裝來源不明嘅 app，但黑客正正就係利用呢種天真嘅諗法，所以供應鏈攻擊（supply chain attack）先會咁多人中招。 不過，將惡意軟件放上 Play Store，除咗要瞞過 Google 監察，仲要等人自己下載嚟用，好似唔多夠效率，慢慢黑客就發現仲有進步空間，呢個方法就係令到手機製造商睇中惡意軟件嘅表面功能，自動將 app…

家陣公司為咗節省資源，好多嘢都靠外判，等自己唔使養咁多人。就連網絡安全工作都係，一來市場上唔夠人手，二來逐樣產品買亦負擔唔起。理解嘅，在商言商，老闆又錯唔晒，不過如果公司連一個識 IT Security 嘅同事都無，又可以點去評估外判商做緊啲嘢掂唔掂？好似好多企業都鍾意搵公司做 consultation，但公司入面無人識 cyber security，根本唔知點揀，所以有多啲 budget 嘅就會搵 Big 4，因為連銀行金融業都搵佢哋做評估，差極都有個譜啩，但 Mr. Smith 真係要再強調一次，好易中伏！ 試過有次公司要搵美國一間大公司做 code review，評估一隻用嚟保護其他 application 嘅軟件有無漏洞。結果報告返咗嚟，話隻軟件嘅 loophole…

以為响手機裝防毒軟件就冇問題？點知原來個防毒本身就有問題…… 網絡安全公司 Comparitech 最近為 21 款 Android 免費防毒軟件進行分析，結果真係嚇死人，發現當中竟然有 3 款存有嚴重安全漏洞、7 款根本無能力偵測樣本病毒；整體上，47％ 產品未能成功達標，真係唔裝好過裝喇。 Comparitech 從安全性、私隱度及廣告推送三方面進行測試，發現大多數 App 都貨不對辦：首先有三分之一嘅 app 根本無能力準確偵測病毒，而且幾乎所有 app 都响度監察緊你嘅行為。咁都未算，研究員仲發現有…

香港電腦保安事故協調中心（HKCERT）剛啱發表咗香港第二季《香港保安觀察報告》，統計數字顯示釣魚電郵嘅個案，數字由第一季嘅 289 宗飊升至第二季嘅 1,306 宗，升幅高達三倍，其中有四成更係假冒 apple.com 及 icloud.com 嚟發送電郵。釣魚電郵之所以能夠歷久常新、講極都有人中招，都係因為黑客用咗唔少有創意嘅方法，去減低目標人物嘅警覺性。 最近網絡安全公司 ReversingLabs 又發現咗一個新趨勢，研究員指出以往釣魚電郵嘅欺詐方法，主要係透過引誘收件人點擊電郵入面嘅連結，然後去到一個冒牌網站例如 Apple、Amazon 或各大銀行等等，部分冒牌網站會整到同官網一樣提升可信性，務求令收件人輸入登入資料，黑客就可以盜用帳戶嚟購物或攞到信用卡資料。 千方百計呃人Login 不過，最近有黑客就改為喺附件到放置一個 PDF 檔案，電郵內容係提醒收件人嘅 Amazon 帳戶有一啲稅務費用，講明唔係收費通知，只係要求用戶登入檢查。由於喺美國…

作為資安界一分子，每年都會特別留意幾個關於網絡安全嘅全球盛事，DefCon 自然喺名單之上，呢個喺 1993 年由「黑客之神」Jeff Moss 搞嘅大會，嚟到今年已經係第 27 屆，每年都會喺拉斯維加斯舉行，吸引全球黑客高手參加。大會高手如雲，上年更有個 11 歲小朋友，只用咗 10 分鐘就成功入侵美國選舉網站，成為一時熱話。 今屆大會啱啱喺美國時間星期四（8月8號）開鑼，而焦點就落喺 BioHacking Village 身上。其實 BioHacking Village 唔係新嘢，過往幾屆都有搞，但通常都好細規模，可能一張細枱放幾部醫療儀器俾人 hack…

請立即更新 iOS 裝置嘅系統，呢句說話已經講咗唔知幾多次。不過，而家又要再講多次喇，因為 Google Project Zero 團隊早前向 Apple 提交 6 個 iOS 漏洞，雖然 Apple 喺新推出嘅 iOS 12.4 版本已經解決其中 5 個，仲有一個未解決到，但起碼減少被黑客攻擊嘅風險丫。…

企業數碼轉型的好處多不勝數，誘因包括存取資料方便、雲端應用服務選擇多、部署快速、節省硬件成本開支等等。既然有這麼多好處，自然一窩蜂移雲。不過，不少企業決策者選用雲服務後，才發現情況並非想像中完美，連接公司與雲端伺服器原來並不簡單，同時亦無法把握儲存於雲端的數據安全性。要解決問題，選取合適的雲端存取安全代理 (Cloud Access Security Broker, CASB) 服務是最簡單快捷的方法。 網絡安全客戶有責 大部分企業的數碼轉型第一步，都會由採用 Office365、G Suite 等一站式雲端應用服務開始。當中有企業決策者對這些雲端服務存有誤解，以為供應商必須確保客戶的數據得到保障，可免受黑客攻擊或遭遇私隱洩漏。事實上，使用者與服務供應商存有明確的分擔責任（shared responsibility）概念，使用者亦須採取足夠手段，例如嚴謹的登入帳戶措施、明確的存取檔案權限，去保護存放在雲端上的數據。 要達到網絡安全標準，卻有不少問題要解決，因為單點式解決方案（point solution）無法照顧各應用層面，例如電郵收發、檔案分享、數據存取等；設立 proxy 或 gateway，網絡延時又有可能拖垮工作進度，而編寫 API 亦需要一定的技術人員和時間，反而有違數碼轉型快捷便利的初心。…

企業電腦被入侵嘅個案，有 90% 都係因為員工瀏覽藏有惡意軟件嘅網站、打開有問題嘅電郵連結或惡意檔案而發生。一旦中伏不單會導致重要資料外洩，仲會損害公司聲譽！可惜而家單靠傳統嘅偵測技術，好難有效防禦。所以，公司嘅網絡安全策略務必由偵測轉至預防，全方位抵禦網絡攻擊。 點樣達至終極抵禦網絡攻擊？ 而家誠邀閣下出席是次研討會，一齊探討點樣透過 Carbon Black + Menlo Security組合嘅 Web Isolation、Endpoint Visibility 及 Application Control 等功能，達至內外全方位終極預防網絡攻擊嘅目標。 企業電腦被入侵嘅個案，有 90% 都係因為員工瀏覽藏有惡意軟件嘅網站、打開有問題嘅電郵連結或惡意檔案而發生。一旦中伏不單會導致重要資料外洩，仲會損害公司聲譽！可惜而家單靠傳統嘅偵測技術，好難有效防禦。所以，公司嘅網絡安全策略務必由偵測轉至預防，全方位抵禦網絡攻擊。 點樣達至終極抵禦網絡攻擊？ 而家誠邀閣下出席是次研討會，一齊探討點樣透過 Carbon Black + Menlo Security組合嘅 Web Isolation、Endpoint Visibility 及 Application Control 等功能，達至內外全方位終極預防網絡攻擊嘅目標。…