Insight

News, thoughts & updates from the industry

Keywords : phishing

2023年「香港企業網絡保安準備指數」出爐 揭員工網絡保安意識不足

香港生產力促進局 ‧ 網絡安全(生產力局 ‧ 網絡安全)及香港個人資料私隱專員公署(私隱專員公署)共同公布「香港企業網絡保安準備指數及私隱認知度」調查報告結果,「香港企業網絡保安準備指數」錄得47.0點(最高100點),較去年下挫6.3點,亦是自指數成立以來錄得最大跌幅。中小企(43.6點)及大型企業(62.5點)的指數均錄得跌幅,分別下跌7.1點及4.1點。 「香港企業網絡保安準備指數」由「保安政策風險評估」、「技術控制」、「流程控制」和「建立員工意識」四個範疇組成。今年,「流程控制」(68.1點)繼續於所有分項指數居首,屬「具管理能力」級別。然而,「技術控制」(55.1點)因較少企業進行系統保安修補管理,而且企業所採取的網絡威脅防禦措施亦有所減少而急挫11.2點,「保安政策風險評估」(39.7點)亦由於較少企業進行網絡保安風險評估而下挫8.9點至歷來低點。另外,「建立員工意識」繼續在25點低位停留,繼續是值得關注的範疇。 調查又發現,近四分之三(73%)的受訪企業在過去12個月內曾遇到最少一類網絡安全攻擊,較去年再飆升八個百分點至歷來新高。數字上升主要來自更多中小企受網絡安全攻擊,較去年大幅上升10個百分點。當中,釣魚攻擊繼續是幾乎所有有關企業遇到的最常見的網絡安全攻擊類型(96%)。除網絡釣魚電子郵件(79%)及網絡釣魚電話(35%)等常見主要釣魚攻擊外,調查亦發現網絡釣魚簡訊(34%,+14百分點)及社交媒體釣魚(16%,+6百分點)較去年常見。另外,新興的釣魚攻擊模式,例如使用人工智能(AI)或生成式AI及使用二維碼的釣魚攻擊亦分別錄得9%及8%。 生產力局數碼轉型部總經理陳仲文先生表示:「是次調查結果值得關注。一方面,本年的『香港企業網絡安全準備指數』錄得歷來最大跌幅,主要是由於企業在『網絡保安風險評估』有所鬆懈,進行『系統保安修補管理』及採取『網絡威脅防禦措施』亦有所減少。另外,『建立員工意識』分項指數今年繼續在25點低位停留,反映人員的網絡安全意識有急切改善的需要。另一方面,網絡攻擊的情況日益嚴重,在過去12個月曾受網絡攻擊的企業百分比,較去年再度上升八個百分點至73%的歷來新高,當中超過九成有關企業曾受到釣魚攻擊,而釣魚攻擊的方式亦較以往變得更像真且更多樣化。人類是網絡安全中最薄弱的環節,很多網絡攻擊之所以成功,都是由於人員疏忽而造成。另外,香港電腦保安事故協調中心(HKCERT)的事故報告統計資料顯示,在2023年1月至9月期間,釣魚攻擊的事故報告已佔所有網絡保安事故的一半,可見釣魚攻擊已對網絡保安構成巨大威脅。對此,生產力局強烈建議企業除增加在『網絡保安風險評估』、『系統保安修補管理』及『網絡威脅防禦措施』方面的投放外,亦應該盡快加強員工的網絡安全意識。除了定期為所有員工提供培訓外,亦應定期進行網絡安全演習。企業亦可利用HKCERT最新推出的『網絡釣魚 全城防禦』網上專頁所提供的材料,為員工進行釣魚意識培訓。」 文章來源:香港生產力促進局

Learn More

豪華酒店和連鎖度假村成黑客首要目標

據 Cofense Intelligence 的研究人員稱,繼最近針對MGM Grand和Caesars的網路攻擊之後,攻擊者繼續針對酒店業發起活躍的網路釣魚活動,旨在傳播竊取資訊的惡意軟件。 該活動利用偵察電子郵件和即時訊息,引誘豪華度假村和連鎖酒店的員工回應。 一旦攻擊者收到回應,他們就會跟進網路釣魚訊息,並利用多種方法來破壞電子郵件安全分析和安全電子郵件閘道 (SEG),以便訊息到達預期目標。 根據 Cofense 的說法,這些策略包括在電子郵件、受密碼保護的檔案和可執行文件中使用受信任的Cloud Domains,而這些檔案太大,可能會影響分析。 這些電子郵件包含託管在受信任Cloud Domains上的感染 URL,受害者可以從該 URL 下載包含惡意檔案的受密碼保護的檔案,目標是竊取員工在公司系統上使用各種應用程式的登入訊息,並在某些情況下傳遞次要有效載荷(Secondary Payloads)。 黑客部署的竊取程式包括 RedLine…

Learn More

大規模網絡釣魚 6,000個假網站冒充知名品牌

威脅行為者冒充100多個服裝和鞋類品牌,試圖誘騙訪問者在假網站上輸入其帳戶憑證和財務信息。 據Bolster.ai的研究人員表示,這一大規模的釣魚活動自2022年6月以來一直在進行。研究人員識別出超過3,000個已註冊的域名和約6,000個與該活動相關聯的網站。冒充的品牌包括Nike、Puma、Asics、Vans、Adidas、Columbia、Superdry、Converse、Casio、Timberland、Salomon、Crocs、Skechers、The North Face、UGG、Guess、Caterpillar、New Balance、Fila、Doc Martens、Reebok、Tommy Hilfiger等等。 是次釣魚活動在2023年1月至2月期間激增,每個月新增大約300個新的假網站,域名格式一律為品牌名稱加上城市或國家,再使用通用頂級域名(TLD),例如.com。大多數域名是通過阿里巴巴(Alibaba.com)新加坡註冊的,域名的登記年期為兩年到90天之間。研究人員發現,一些較早前登記的域名已被Google索引,這意味著它們很可能在特定的搜索詞中排名較高。 除了網絡釣魚活動,釣魚電郵亦日益增加。大多數用家以為只要點擊電郵內的連結就安全,但攻擊者已改變手法,他們會假冒成你信任的人發送電郵,以騙取你的資料或金錢。想知道你的用戶能否成功識破騙局,就要試試KnowBe4的Phishing Reply Test了。你可以選擇3個不同情境的釣魚電郵,測試會幫你偽造一個信任的發件人姓名及電郵地址,然後等待用戶上釣, 24小時內KnowBe4將會向你發送測試報告。 測試有助你了解用戶對釣魚活動的警戒程度,從而制定相應培訓。立即登記,進行測試吧! 如果對KnowBe4的產品感興趣,歡迎透過以下方法聯絡Amidas了解更多。 電話:2168 0388 Whatsapp: 98283401 電郵:sales@amidas.com.hk

Learn More