iOS 其中一款下載次數逾百萬的通話錄音 app 「call recorder」，被安全專家發現竟然存在身份驗證漏洞，開發商儲存於AWS雲端上的用家通話記錄及通話錄音，都可以通過修改 API 指令，被黑客隨意竊取，好兒戲喎！ ClubHouse 語音社交平台早前被爆漏洞，有心人可以闖入不同房間錄音，再將用家對話的語音檔上載網上分享。雖然用家在房間內的公開發言，都會預計有可能被錄音，所以未必有太多機密訊息，但在不知情下被竊聽，感覺始終不太愉快。不過當換轉通話錄音 app 出現安全漏洞，情況就完全不同，因為使用錄音 app 一般都有工作需要，例如記者做電話訪問、同客戶開會等等，當中總涉及一些機密資料。而 PingSafe AI 網絡安全研究員 Anand Prakash 最新發現的安全漏洞，便與 iOS 其中一款下載次數逾百萬的通話錄音…

當屋企內存在愈來愈多智能裝備，被不法份子暗中監測的風險就愈來愈高。早前已有很多潛在風險案例，包括智能喇叭、Webcam、智能電視等等。最近研究又發現，不少港人愛用的小米吸塵機械人RoboRock一樣可以變身偷聽器，關鍵竟然是機身的光學雷射(Lidar)裝置！ 小米吸塵機械人身上的光學雷射裝置，原本應用於測量空間的大小及偵測前方有否障礙物，實際上應該跟聲音無關？不過，它卻可以透過接收反射光束，進而分析與物件之間的距離、物料，以及物件表面的振動變化，所以只要光學雷射裝置能持續向同一點收集數據，便能計算出令物件振動的音頻，再還原成為聲音。以為好高科技？原來在20世紀中期的冷戰(Cold War)期間，以被情報部門應用於偷聽技術，而當時光學雷射裝置是靠著記錄房間內玻璃窗戶的振動而偷聽。 光學雷射科技發展急速，過往達軍用級別的識別技術，近年已大量應用於不同民用產品，而由University of Maryland及National University of Singapore學者組成的研究團隊，就嘗試利用附有光學電射裝置的小米吸塵機械人，還原上述的竊聽技術。團隊今次不只分析玻璃面反射，更收集了紙、塑膠袋、衣料等家居經常出現物品的反射數據，結果顯示還原準確度高達90%。研究團隊更指透過分析聲音，可描繪出發聲人的性別、政治取態等個人圖譜，那就可以進行更有指向性的竊聽行動。 不過，研究團隊澄清今次測試純屬學術研究，叫小米吸塵機械人用家不用恐慌，因為要達成竊聽必須滿足多項條件。首先是要成功入侵並安裝惡意軟件控制機械人，因為如機械人不停轉動，便無法讓雷射集中投放在同一位置，收集回來的數據便無法還原為有意義的聲音。要阻止這種竊聽行動，研究團隊建議生產商除了要做好網絡安全工作，亦可考慮當機械人停止轉動時，可將光學雷射組件關上，這樣就能防止相關竊聽行動發生。 資料來源：https://zd.net/3pNUul2

睇過「竊聽風雲」嘅朋友，都會覺得原來偷聽係要咁大陣象，真係無「國安級」嘅設備，可能都未必做到。不過有研究人員就發現，有不法之徒利用高清通話（透過 4G LTE 網絡所連接嘅通話服務）存在嘅漏洞，偷聽手機對話，而用嚟偷聽嘅裝置費用，只係需要 7000 美金，即係大約 54000 蚊港紙。 一般流動電訊商都會用相同嘅加密金鑰，嚟保護透過同一手機訊號發射站，進行嘅多個 4G 語音通話。而研究人員就發現，當流動電訊商用一樣嘅金鑰嚟做加密，或者手機訊號發射站會重複用同一個密碼，又或者用可預測的AI演算法生成加密金鑰，就好容易成為竊聽者攻擊嘅對象。 竊聽者嘅攻擊分為兩個主要階段，第一個階段係記錄階段，透過截取目標裝置嘅加密無線訊號（亦稱為第一個通話），記錄低目標裝置同受害者之間嘅加密訊號，喺呢個階段，竊聽者要有一部可以偵察到無線電層傳輸方向嘅裝置，唔知鴨記有無得賣，不過部嘢真係唔洗 1400 蚊美金就做到。當偵察到目標配置，竊聽者可以對目標無線電嘅配置記錄進行解碼，直到拎到佢嘅加密資料(PDCP)。 當第一個通話結束，竊聽者就會進行第二步：呼叫階段，就算竊聽者手上並無受害者嘅任何金鑰解碼嘅材料，竊聽者都可以係第二階段用一部商用現成電話，知道受害者嘅電話號碼同佢而家嘅位置，然後打畀受害進行第二次通話，再用第二次用到嘅加密流量同第一次通話嘅流量進行比較，從而推斷出加密金鑰嘅位置，一旦有咗呢段「金鑰流」，竊聽者就可以利用佢嚟恢復返第一次通話嘅內容，專家將呢個漏洞命名為 ReVoLTE。（詳情參看下圖） 研究人員亦都提醒，竊聽者與受害者傾電話嘅時間越長，佢可以能夠解密先前對話嘅內容就越多，又指出發起 ReVoLTE 攻擊嘅設備成本只係需要 7000…

想開始試用智能家居，最方便嘅方法就係買個具備管家功能嘅智能喇叭，好似 Google Home、Amazon Alexa 呢兩個智能喇叭就非常多人買，當中又以 Google Home 較受歡迎，因為無論喺支援嘅品牌同埋語音操控表現上，都穩佔上風。不過，唔少用家都會擔心，呢啲喇叭會唔會偷偷錄低自己講嘅嘢再傳送出去？事關 Google 同 Amazon 都承認會收集語音嚟改善佢哋嘅助理功能，而事實上 Amazon 曾經喺 2017 年應阿肯色州警方及控辯雙方要求，交出一段兇殺案現場嘅錄音作為呈堂證供，所以話，用唔用真係好視乎大家覺得個人私隱有幾重要。 為咗證明呢啲智能喇叭真係存在安全漏洞，德國網絡安全研究實驗室 SRLabs 嘅白帽黑客，分別為 Google…

紐約總檢察長辦公室宣布，對一間追蹤軟件開發商處罰 41 萬美元，理由是公司開發的多個軟件及推廣手法，違反了美國聯邦政府及多個州的法律。供應商 Patrick Hinchy 已同意這次判決，更表示會向被監控的受害者發出提醒。今次判決相信會對業界亮起紅燈，作為一般用家，便要時刻留意手機或電腦有否可疑跡象，平日亦要小心保管電子裝置。 想知最新科技新聞？立即免費訂閱 ！ 追蹤軟件（stalkerware）又稱為間諜軟件，它的主要作用是讓顧客可在被監控者不知情下，暗中取得各種敏感訊息，例如目標的地理位置、通話或訊息內容、上網活動等，雖然收集情報的人未必會將敏感資訊用於勒索或綁架等犯罪活動，例如父母擔心子女安全而在手機上安裝相關軟件，但某程度上已侵犯了目標人物的個人私隱。 其實這種軟件在新冠疫情期間，相當受僱主歡迎，因疫情下公司被逼讓員工遙距工作，僱主擔心員工實際上沒有在家工作，因此選擇在員工公司電腦裝置安裝追蹤軟件，例如截取員工對話訊息、電郵內容甚至鍵盤使用狀況，以了解員工有沒有正常工作。 這次被政府判罰的追蹤軟件供應商 Hinchy，旗下的追蹤服務多達 16 款，包括 Auto Forward、Easy Spy、PhoneSpector、Surepoint、TurboSpy 等，用於手機監控及截取訊息，這些軟件的功能非常全面，除了可監控位置及訊息內容，更連目標人物的瀏覽歷史記錄，以及社交媒體活動都會一併收集，當中一款更可讓顧客遙距啟動受監控手機的鏡頭及收音咪，全方位監視及竊聽。 作為一般用家，安全專家建議平常必須時刻確保電子裝置不要離開視線範圍，為裝置設定複雜的登入密碼，或啟動生物特徵登入功能。不要點擊任何可疑連結或打開可疑檔案，同時亦要避免安裝來歷不明的軟件，最好為裝置安裝可信的網絡安全軟件，便可大大提高電子裝置被安裝追蹤工具的風險。 此外，專家又建議用家，可定期查看電子裝置內的已安裝或運行中軟件，留意是否有陌生軟件正在運行，如果是智能手機用家，更加要查看…

美國 FBI 上星期發出新警報，指網絡罪犯利用視像會議工具如 Zoom、Microsoft Team 等進行金錢詐騙的個案有上升趨勢，罪犯不單只會利用相片假扮公司高層，甚至會利用 deepfake 技術假扮高層的聲音，用各種藉口指示員工轉帳，防不勝防。 新冠病毒改變了全球企業的運作模式，企業因允許員工在家工作，因此工作期間便須使用各種網上協作工具，以及以視像會議取代日常開會。根據 Zoom 及 Microsoft Team 的公布，疫情下令雙方的用家數量激增數千萬。網絡罪犯亦看準這個機會，利用這些視像會議工具竊聽情報，開設虛假的會議或混入會議中，由於參與人數眾多，公司方面未必能即時識別有外人混合，特別是如罪犯盜用了員工的公司帳戶就更難防。 而 FBI 的警報就揭示了網絡罪犯的新趨勢，官方指罪犯結合了商業詐騙電郵 (BEC) 技術，令員工更易上當將金錢存入罪犯的銀行帳戶中。BEC 指的是罪犯透過各種手法預先摸清目標企業的員工架構及商業夥伴電郵往來的內容，了解公司的日常商業運作，在真正攻擊時便會假冒上司，就著某宗交易要求員工將金錢改存入其他帳戶，整個攻擊過程必須長時間部署，才能令員工更易上當。…

Apple macOS 用於控制應用軟件存取權限的 TCC 技術再一次被發現漏洞，Microsoft 365 Defender 研究團隊去年六月向 Apple 舉報的 powerdir 漏洞，可讓有心人繞過安全限制，暗中竊取用家的私隱資料。現時漏洞已被堵塞，所以研究員就可以放心公開。但對還未更新 macOS 作業系統至 12.6 或以上的用家來說，被入侵風險就大大提高！ macOS 的 TCC (Transparency,…

今時今日隨街可見 Quick Response Code (QR code) ，一經掃描便可即時存取網站、聯絡資料等資訊。無論是防疫措施還是電子付款，都能見到 QR Code 的蹤影。Palo Alto Networks 香港及澳門總經理馮志剛就提醒，儘管 QR Code 技術本身是安全的，但隨著人們對它愈加依賴，網絡犯罪分子亦會想方設法利用它犯案。 馮志剛表示，QR Code 可能為潛在的網絡攻擊提供入侵機會，因為它們無法提供背後網頁、應用程式等的可視度。他們會自動將用戶重新定向到網站或應用程式商店去下載應用程式、進行付款等，因此為網絡犯罪分子提供了入侵的機會。 疫情期間，Palo Alto Networks 威脅情報團隊 Unit 42，在地下網上論壇觀察網絡犯罪分子討論如何利用 QR code 和針對消費者的方法，並找到了如何使用 QR code 進行攻擊的開放源代碼工具和影片教程。…

新冠肺炎第四波疫情悄然降臨，有公司在年頭已開始推行遙距辦公（Remote Working）政策，准許員工在家工作 Work From Home（WFH），亦有公司在疫情緩和之際推行彈性上班。不過，在遠離辦公室的標準網絡安全保護網下，黑客亦蠢蠢欲動，承機以釣魚電郵及網站，以及用惡意軟件等攻擊缺乏安全網絡環境的員工電腦，入侵企業系統。香港互聯網註冊管理有限公司 （HKIRC）行政總裁黃家偉表示，企業和員工都有各自可採取的措施，去營造安全遙距辦公環境，降低資料外洩機會。 Microsoft 早前曾公布數據，指出在疫情爆發後，黑客利用全球所有人對疫情的恐懼和對資訊的渴望，藉機發動網絡攻擊，特別是遭受疫情重創的國家及地區，成功發動攻擊更現上升趨勢；全球每天數以百萬計的針對性網絡釣魚郵件中，大約有 6 萬個包含與新冠肺炎相關的惡意附件或惡意連結。與此同時，因應遙距辦公措施，不少企業未有制定相關指引，讓員工注意風險，HKIRC 上月公布《香港遙距工作網絡安全應用調查》結果，只有約四成的受訪中小企業曾向員工提供遙距工作指導 (42%) 和網絡安全資訊 (41%)，而員工亦缺乏網絡安全意識相關的訓練，僅 30% 個人受訪者曾受過這類培訓。 籲以VPN連線 切勿連接公眾Wi-Fi 欠缺使用守則，會令員工因疏忽而造成資料外洩。要改善欠缺網絡安全意識的情況，黃家偉建議，培訓可從人、系統、政策三方面入手：在人方面，要提醒員工注意 Wi-Fi…

Tesla 股價近期升到「坎坎聲」，仲要拆股上市，自然會吸引好多人虎視眈眈，尤其係一班黑客犯罪份子，恨不過搵到個機會敲詐 Tesla 一筆。一個俄國公民早前就被揭發，企圖買通一個 Tesla 職員，要佢幫手喺公司植入勒索病毒，應承事成之後會分返 100 萬美金作為酬勞，好彩最後呢個職員「企硬」，主動告發事件，Tesla 先至避過一劫。 根據美國司法部嘅資料，呢名俄羅斯人叫 Egor Igorevich Kriuchkov（下稱克留奇克夫）7 月嘅時候去到美國內華達州 Tesla 超級工廠嘅所在地，搵到一名喺 Tesla 做嘢嘅俄語非美國人，以事後分帳 100 萬美金作為賄款，要佢將勒索軟體放入超級工廠嘅作業系統內入面，打算咁樣去勒索…