網絡安全 - cftime.io

離職員工仲睇到你公司啲客？【員工離職權限回收】一個簡單設定等佢走咗都入唔到你系統

老闆維基6 days ago2 weeks ago01 mins

「王生，你公司嗰個前同事阿明，仲 Login 緊你個雲端。」上個月，我朋友阿基收到呢個 Message，成個人醒一醒。這正正暴露了香港中小企最容易忽略的「員工離職權限」管理問題。阿基喺新蒲崗開咗間貿易公司，阿明三個月前辭職走咗，結果發現：離職員工嘅 Account 一路都仲 Active 緊。即係話：阿基話：「我唔係話阿明會害我，但佢而家去咗邊度做嘢，我連知都唔知。」今日同你分享：點樣用一個簡單設定，確保離職同事走咗之後，真係「走乾淨」。一、問題有幾普遍？（數據唔識呃人）根據 2025 年嘅網絡安全調查，中小企嘅「權限漏洞」比想像中嚴重：你間公司，好大機會仲有幾個「幽靈 Account」喺度。二、邊啲 Account 最易漏？（SME 檢查清單） Account 類型風險等級點解易漏？ Google Workspace / M365 🔴 高員工收 Email、用 Drive 存文件，最核心。 CRM 系統 (Salesforce/Hubspot) 🔴 高客戶底單、通訊錄全喺入面。雲端硬碟 (Dropbox/OneDrive) 🔴 高以前 Share 過嘅 Link…

中小企唔使做滲透測試？資訊保安專家：幾千蚊嘅基本測試救得返你 50 萬嘅生意

老闆維基2 weeks ago4 days ago01 mins

「滲透測試？我間公司得幾個人，邊有咁多人嚟 hack 我？」上個月，呢句話出自新蒲崗一間做禮品訂製嘅老闆阿 Tom 口中。今個月，佢唔再講呢句話。點解？因為佢公司個網站俾人「放咗後門」，成個客戶資料庫被拖走，仲要收到勒索電郵：「俾三個比特幣，唔係就公開你啲客嘅電話地址。」Tom 走嚟問我：「我哋乜嘢保安都冇做過咩？我個網站用 Wix 整㗎，Wix 唔係包咗保安㗎咩？」我話：「你間舖有冇裝閘？有。但有冇諗過，個賊可能唔係爆門，而係爬窗？」滲透測試，就係幫你搵返邊隻窗冇鎖好。今日同你拆解：點解幾千蚊嘅基本測試，可能係你公司最抵嘅投資。一、首先，到底咩係「滲透測試」？先搞清楚一個成日撈亂嘅概念：漏洞掃描 (Vulnerability Scanning) 與滲透測試 (Penetration Test)。比較項目漏洞掃描滲透測試形象比喻用儀器 check 你間屋有幾多度門真係搵個人試下點樣入到你間屋操作方式自動化軟件 run 一次，出份報告話你知邊度有漏洞真人黑客模擬攻擊，試下「有漏洞嘅地方，到底入唔入到」最終結果「你度門鎖有問題」「你度門鎖有問題，我用一張八達通 3 秒就開到，仲入咗去攞咗你本數簿」簡單講：漏洞掃描係「話你知有問題」，滲透測試係「話你知個問題有幾大鑊」。中小企成日做嘅，多數只係前者，甚至乜都冇做。二、真實案例：幾千蚊嘅測試，點樣救返 $50 萬生意荃灣一間做食品批發嘅公司，有個官網可以俾客人落單。老闆一直覺得：「我個網係搵 freelancer 寫嘅，用咗幾年都冇事，應該安全掛？」後來經朋友介紹，搵人做咗一次基本滲透測試，盛惠 $8,000。你估吓發現咩？測試員同佢講：「如果呢啲資料漏咗出去，單係私隱條例嘅罰款同聲譽損失，已經可以超過 $50 萬。」老闆當場面青唇白。即晚，佢哋用兩小時改咗密碼、加咗登入限制同 IP 限制。總成本：$8,000。如果冇做測試，後果不堪設想。三、中小企最常見嘅「三大保安錯覺」四、專家建議：中小企應該點做滲透測試？…

付費防毒軟體反而更差？專家揭開 5 大誤解教你聰明保護公司資料

老闆維基2 weeks ago3 weeks ago01 mins

先問大家一個問題：你公司目前使用的防毒軟體，是「付費版」還是「免費版」？如果你回答的是「付費版」，接下來的內容，你可能需要多讀兩次。觀塘一間從事進出口貿易的公司，老闆每年都準時支付兩千多港元，續約某個「知名品牌」的付費防毒軟體。直到早前不幸中了勒索軟體（Ransomware），整個伺服器內的報價單、合約、客戶資料全部被鎖死，即使支付了贖金也無法解鎖。事後請來專家調查，結果令人震驚：「軟體雖然一直開啟，但根本無法偵測到該款新的變種病毒。」更諷刺的是，同一時間，隔壁店鋪僅使用免費版軟體的另一間公司，反而安然無恙。今天我們就來拆解：點解付錢買的軟體，有時反而比免費的更差？揭開關於付費防毒軟體的五大常見誤解，能避開這些坑，你已經能為公司節省下不必要的開支與風險。 1. 誤解一：功能越多越划算（其實是「軟體臃腫」）許多付費防毒軟體為了增加賣點，會強制捆綁大量額外功能，如系統清理、文件粉碎、甚至自家的瀏覽器插件。 2. 誤解二：付費版一定比 Windows Defender 強很多老闆仍停留在「Windows 內建防毒是垃圾」的過時觀念中。 3. 誤解三：軟體能擋住所有攻擊這是最危險的迷思。 4. 誤解四：安裝後就不需要更新系統「我已經買了防毒，它應該會保護我所有漏洞。」 5. 誤解五：付費版比較少廣告彈窗事實正好相反。某些知名品牌會利用老闆的恐懼感進行「恐嚇式推銷（Scareware）」，頻繁彈出「您的隱私有風險」等訊息來誘導你購買更高級的附加服務。這種干擾比起免費版的靜默運作更加影響工作效率。 2026 年，老闆應如何挑選付費防毒軟體？若你決定投資，請確保你的資金是用在以下具備「高回報」的功能上：結語：保安是一種策略，而不僅是一套軟體付費防毒軟體只是資訊保安的其中一環。對於預算有限的中小企，與其買一套臃腫的「全能版」，不如用好內建工具，並將資源投放在提高員工的安全意識上。延伸閱讀：搞定軟體後，別忘了防範「人」的漏洞。參考《七成資料外洩源於員工無心之失：3 招人肉防火牆入門》，建立全面的防線！

老闆必睇：七成資料外洩來自員工一個無心動作教你三招資訊保安入門法

老闆維基2 weeks ago3 weeks ago01 mins

觀塘一間做電子零件批發嘅公司，上個月唔見咗成個客戶資料庫。唔係黑客攻擊，唔係伺服器漏洞。只係一個新入職嘅同事，將公司嘅 Excel 報價單，轉發咗去自己嘅 Gmail「諗住返屋企繼續做」。第二日，競爭對手嘅報價同佢一模一樣，仲平多三個百分點。老闆到今日都唔知邊度出事。其實，漏洞就喺嗰封「無心」嘅轉寄郵件。這就是為什麼對於中小企來說，資訊保安入門的第一課，不是買防火牆，而是管理「人」。為什麼「人」是公司最大的安全漏洞？根據統計，全球超過七成的資料外洩事故與員工的操作有關。在香港，中小企老闆往往為了方便，允許員工用私人電話處理公事，或是在公共 Wi-Fi 下存取公司系統。這些行為在缺乏資訊保安入門意識的情況下，就像是把保險箱的鑰匙掛在大門口。教你三招「人肉防火牆」入門法 1. 嚴禁「公私不分」：建立個人與公司電郵的邊界就像開頭提到的案例，很多員工並非惡意洩密，只是圖個方便。 2. 開啟兩步驗證（2FA）：最後一道防線如果你還在只用密碼登入，那你根本還沒進入資訊保安入門的門檻。 3. 「最小權限」原則：唔需要知就唔好知很多老闆為了方便，給全公司員工「管理員」權限。一旦其中一人的帳戶被盜，全公司的資料就會被清空。資訊保安不一定要花大錢很多老闆以為做資訊保安入門要買幾十萬的伺服器，其實不然。透過免費或低成本的雲端管理工具，例如的權限控制，或是這種密碼管理工具，已經能解決 90% 的基礎風險。結語：保安是一種文化不是一種軟體工具再強，也擋不住一個轉寄 Gmail 的「無心之失」。老闆必須讓員工明白，保護資料就是保護自己的飯碗。建立一套清晰的守則，比起買任何昂貴的防毒軟體都來得有效。延伸閱讀：保護了資料後，想提升營運效率？參考《「低代碼」是什麼？中小企老闆必須知道的營商新趨勢》，讓你的業務在安全的情況下飛速增長！

去年香港網絡安全事故近1.6萬宗創歷年新高！釣魚攻擊佔57.5% AI成黑客新幫兇

Derek Chan1 month ago1 month ago01 mins

香港生產力局轄下的香港網絡安全事故協調中心（HKCERT）發布年度報告《香港網絡安全展望2026》。報告揭示，2025年錄得香港網絡安全事故15,877宗，較上年上升27%，創歷年新高。其中，網絡釣魚攻擊佔比高達57.5%，而利用系統漏洞進行的「已受攻擊系統」事故更飆升368%，顯示威脅形勢正急速演變。即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！生產力局首席數碼總監黎少斌先生在簡報會上指出，人工智能（AI）的普及在推動創新的同時，亦被黑客廣泛用於發動更精密、自動化及具針對性的攻擊。此外，企業對第三方服務及雲端平台的過度依賴，構成了供應鏈安全的新脆弱點。 2025年香港網絡安全事故回顧：釣魚攻擊主導，系統漏洞激增根據HKCERT數據，2025年網絡威脅呈現以下顯著特點： 2026年五大風險預測：AI與供應鏈成焦點綜合數據分析與專家意見，HKCERT預測2026年將出現以下五大網絡安全風險，其中三項與AI直接相關：企業防禦現狀：71%企業設網安負責人，中小企資源與意識待提升 HKCERT同步發布的《香港企業網絡安全現況》調查（訪問672間企業）顯示，企業防禦能力有所提升，但仍有改善空間： HKCERT五大建議：從責任到技術，構建全面防禦為協助企業應對來年挑戰，HKCERT提出五大實用建議：黎少斌總結時呼籲，面對AI技術帶來的雙刃劍效應及供應鏈的複雜風險，企業必須從被動應對轉向主動規劃。他亦介紹了HKCERT聯同數碼政策辦公室推出的「網絡安全服務供應商聯動計劃」，該平台匯聚21家通過審核的服務商，旨在為中小企提供一站式的安全方案配對，協助他們提升防禦能力。

一年損失30億美元！2025加密安全報告揭密：黑客已變心

Derek Chan2 months ago1 month ago01 mins

在2025年，加密貨幣市場並未因防禦系統的全面崩潰而遭受重創。相反，這一年展示了一種不同的脆弱性：當事物失敗時，這種失敗往往會以災難性的形式發生。據2025加密安全報告，今年加密市場因黑客而損失超過30億美元，但這些損失並不是因為穩定的攻擊行為所導致，而是源自幾次重大事件，攻擊者深入集中資本池，奪取了足以扭曲整個年度統計的巨額資金。即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！集中化成為系統的薄弱環節隨著加密基礎設施的成熟，資本逐漸集中於一些大型交易平台。這種集中化為用戶帶來了效率，但同時也成為攻擊者的誘人目標。在2025年，當這些集散地之一受到攻擊時，其影響程度遠超以往的常規黑客行為。一個安全漏洞足以掩蓋數百起小型事件，使得該年度的情況看起來歷史性糟糕，即便大多數平台依然沒有受到影響。這種動態改變了風險的衡量標準，安全失效不再是漸進式的，而是二元的。黑客的運用策略多樣化攻擊者並未依賴單一策略，而是將行動分為兩類。一方面是針對主要監管機構和交易所的長期高風險計劃，這些計劃的單次成功可能帶來世代性的回報；另一方面則是針對個別用戶的機會主義攻擊，利用釣魚、惡意軟件和密鑰竊取等手段，發掘個人安全的漏洞。第二類攻擊產生了大量受害者，但每次事件所帶來的經濟損失相對較低；相比之下，第一類攻擊的受害者雖然較少，但卻造成了大部分損失，兩者共同重塑了威脅的格局。去中心化金融（DeFi）為何未成主要攻擊目標在以往的周期中，去中心化金融在資本回流後即吸引了大量攻擊者，但這一模式在2025年破裂。儘管流動性回流至DeFi，但攻擊活動並未隨之而來。其原因並非僅僅是運氣，而是這些協議已變得更加難以攻擊，採用更加嚴密的審計、更慢的部署周期和更好的監控系統。對於考慮投入與回報的攻擊者而言，其他目標提供了更有利的機會。值得注意的是，攻擊者的身份及其準備方式也出現了變化。一些最具破壞性的操作顯示出長期準備的跡象，而非一時的機會主義。這些攻擊者不僅僅利用程式上的漏洞，還利用了信任——嵌入公司內部、濫用供應商關係，或者在獲得訪問權後數月再發動攻擊。這些行動相對較少，但速度慢且更具威脅性。 2026年的預測困難 2025年的經驗教訓並不意味著加密貨幣的安全性降低，而是結果變得更為不穩定。一年可能因一兩次防禦的失效而顯得「安全」或「災難」，這使得預測變得困難，且比較結果時可能存在誤導。面臨的真正挑戰並不在於完全消除攻擊，而是降低任何單一漏洞能造成的損害。因為在當前的加密市場中，一次失敗便足以引發嚴重後果。

大快人心！黑客盜走Coinbase 3億卻因「恐慌拋售」反虧93萬美元鉅額贓款慘被市場收割

Derek Chan6 months ago1 month ago01 mins

加密貨幣市場再起波瀾。據報導，盜走Coinbase逾3億美元的網絡黑客，在恐慌性拋售中損失慘重。該黑客在短短兩天內，將此前以每枚4756美元價格購入的3976枚以太幣（總值1890萬美元），以每枚4522美元的價格全部拋售，造成約93.2萬美元的損失。即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！黑客將以太幣兌換為DAI 避險價格波動根據區塊鏈分析公司Arkham Intelligence的數據，該黑客將所有以太幣兌換為DAI穩定幣。此舉被分析師認為是為了規避加密貨幣市場價格波動的風險，並方便資金轉移。DAI的去中心化特性使其成為犯罪分子理想的洗錢工具，因為它缺乏中心化機構可以凍結資產或將地址列入黑名單。相比之下，USDT、USDC、TUSD和PAX等中心化穩定幣則更容易受到監管機構的追蹤和干預。盜走Coinbase巨額以太幣提款加劇市場波動與此同時，市場觀察到多個「巨鯨」帳戶進行了大規模的以太幣提款，進一步加劇了市場波動。Lookonchain數據顯示，多個新錢包在Binance、FalconX、Kraken和Bitget等交易平台進行了巨額以太幣提款，總額超過2.08億美元。其中，一個名為0x4d43的新錢包在40分鐘內從Binance提取了4208枚以太幣（約1950萬美元）；另一個新錢包0x9D99則從Binance和Bitget提取了5297枚以太幣（約2470萬美元）；而錢包0x7451從FalconX提取了約6160萬美元的以太幣；Kraken更是出現了單筆1.02億美元的以太幣提款。這些巨額提款活動，加上過去24小時內CoinGlass數據顯示超過1.08億美元的以太幣在期貨市場被拋售（其中約86%為多頭倉位），共同導致以太幣價格在創下新高後回落至4522美元，跌幅達1.57%。監管不確定性影響市場情緒市場分析指出，監管不確定性也是影響市場情緒的重要因素。BlackRock申請的以太幣ETF計劃中加入質押功能的決定被美國證券交易委員會（SEC）推遲至10月30日，21Shares和Grayscale的類似計劃也面臨延期。這種監管不確定性加劇了投資者的觀望情緒。以太幣ETF市場表現強勁儘管短期市場波動劇烈，但以太幣ETF市場的整體表現依然強勁。截至9月12日，總淨流入已達133.6億美元，總資產淨值達到303.5億美元，上週單日交易額更突破25.5億美元。這顯示機構投資者對以太幣的興趣持續高漲，也預示著以太幣的價格長期仍有上漲的潛力。 Coinbase黑客事件以及隨之而來的以太幣市場波動，凸顯了加密貨幣市場的高風險性。然而，以太幣ETF市場的強勁表現也暗示著其長期增長潛力。投資者需密切關注市場動態，謹慎評估風險與機遇。

伊朗加密貨幣交易所遭黑客攻擊疑以色列背景組織所為

Derek Chan9 months ago1 month ago01 mins

伊朗最大的加密貨幣交易所Nobitex於6月18日遭遇重大安全事件，損失超過4800萬美元的Tether (USDT)。聲稱對此負責的是一個自稱Gonjeshke Darande（Predatory Sparrow）的網絡犯罪組織，該組織與以色列存在關聯。區塊鏈安全公司Onchain Labs迅速發現了伊朗加密貨幣交易所遭黑客攻擊事件，並追蹤到被盜資金流向Tron網絡。即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！此次攻擊並非單純的財物損失，Gonjeshke Darande過往曾發動多起針對伊朗基礎設施和金融機構的網絡攻擊，包括癱瘓70%的伊朗加油站以及攻擊與伊朗軍方相關的Sepah銀行。該組織在公開聲明中指控Nobitex協助伊朗政府規避國際制裁，並為恐怖主義活動提供資金，甚至聲稱在Nobitex工作等同於服兵役。他們威脅將在24小時內公開Nobitex的源代碼和內部信息。伊朗加密貨幣交易所遭黑客攻擊表示僅部分熱錢包資金受影響 Nobitex方面已證實遭到黑客入侵，並在X平台上發佈聲明，表示僅部分熱錢包資金受影響，大部分資產安全存放在冷錢包中，並承諾將利用保險基金和自身資源賠償所有損失。目前平台仍處於離線狀態，以進行全面調查。 Onchain調查員ZachXBT在Telegram上也證實了這宗事件，指出Nobitex多個錢包出現可疑資金外流，損失金額達4865萬美元。此次事件凸顯出加密貨幣交易所在地緣政治衝突中日益成為軟目標，尤其在中東等高風險地區。隨著網絡攻擊的政治色彩日益濃厚，加密貨幣交易所需要重新評估其安全措施，以應對日益複雜的威脅，保障用戶資產安全及地區穩定。目前事件仍在持續發展中。

Bybit黑客事件引發加密貨幣產業監管隱憂

Derek Chan1 year ago1 month ago01 mins

全球第二大加密貨幣交易所Bybit於2月21日遭黑客竊取14億美元，創下加密貨幣交易所史上單次遭竊金額最高紀錄。Bybit黑客事件引發業界對反洗錢（AML）和打擊資恐融資（CFT）機制的嚴重關注，並凸顯部分去中心化平台監管漏洞。即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！ Bybit黑客事件手法疑為內部人員勾結此次黑客攻擊手法疑為內部人員勾結，Bybit高層管理人員簽署惡意交易，導致黑客得以從多重簽名錢包中竊取大量以太幣（ETH）。事件發生後，客戶恐慌性提領超過40億美元存款。Bybit雖聲稱在約12小時內透過取得貸款補充流動性，以1:1比例償還客戶存款，但事件已嚴重衝擊市場信心，並引發監管機構的密切關注。黑客在事件後三天內積極進行洗錢活動，將部分贓款兌換成比特幣和其他山寨幣。多個號稱去中心化或無需許可的加密貨幣協議，例如Memecoin生成器Pump.fun和無需許可的代幣交易所ThorChain，被迫緊急干預，以阻止贓款流動。此舉顯示，即使是去中心化平台，在面對大型犯罪活動時，也難以完全避免人工干預，其去中心化程度受到質疑。由於有研究人員指出黑客可能與北韓有關，國際制裁可能適用於被竊資金。因此，各平台不僅面臨道德壓力，更可能因未能遵守CFT/AML規定而面臨刑事追訴。資安研究員ZachXBT指出，黑客利用ChainFlip、ThorChain、LiFi、DLN和eXch等管控相對鬆散的交易所，將超過37,000枚被竊取的ETH兌換成其他加密資產。eXch已否認其參與洗錢活動。此外，Pump.fun管理員已移除一個與北韓相關的代幣，該代幣與北韓資助的Lazarus集團將被竊取的Solana轉移至Pump.fun地址有關。部分平台已採取行動阻止贓款流動，例如mETH Protocol追回4,300萬美元被竊的cmETH代幣，Tether凍結了18.1萬美元的USDT。 JAN3行政總裁Samson Mow和BitMEX共同創辦人Arthur Hayes曾呼籲回滾以太坊區塊鏈以逆轉此次黑客事件，但此提案遭到以太坊創辦人Vitalik Buterin拒絕，並被比特幣最大主義者批評為不切實際。Solana社群也曾提出類似的回滾區塊鏈提案，但同樣未獲通過。 Bybit事件凸顯加密貨幣產業在監管和反洗錢方面的不足，也引發對去中心化平台安全性和監管責任的廣泛討論。未來，更嚴格的監管措施和更強大的安全防護機制將成為加密貨幣產業發展的關鍵。

北韓黑客集團涉嫌竊取Bybit 14.6億美元交易所擠提黑客疑已洗白資產

Derek Chan1 year ago1 month ago01 mins

區塊鏈分析公司 Elliptic 發布報告指出，北韓黑客集團 Lazarus Group 疑似為週五發生的 Bybit 14.6億美元加密資產竊案的幕後黑手，目前已追蹤到超過1.4億美元的被盜資金正透過匿名交易所進行洗錢。北韓黑客集團涉嫌竊取Bybit加密資產，是加密貨幣史上最大規模的竊案，遠超2021年 Poly Network 6.11億美元的失竊案。看更多：Bybit有史以來最大竊案涉15億美元以太幣加密貨幣市場震盪即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！此次攻擊主要竊取以太幣及其相關代幣，黑客利用社會工程手法，成功竊取資產後，立即將資金分散至50個不同的錢包，每個錢包約持有10,000 ETH。Elliptic 的分析顯示，黑客正系統性地將這些資金轉換為 Bitcoin，並利用匿名交易所和去中心化交易所（DEX）等服務，試圖掩蓋資金流向，增加追蹤和追回的難度。 Elliptic 指出，黑客首先將 stETH 和 cmETH 等代幣透過 DEX 轉換為以太幣，此舉可能旨在避免資產被凍結。這與 Lazarus Group 慣用的洗錢手法相符，即先將被盜代幣轉換為原生區塊鏈資產，再進行進一步的模糊化處理。 Elliptic 預測，接下來黑客很可能利用混幣器（Bitcoin Mixers）來進一步掩蓋交易軌跡，但龐大的資金量將增加操作難度。北韓黑客集團涉嫌竊取Bybit加密資產公司正面臨大規模提款壓力 Bybit 在事件發生後，已懸賞最高 1.4億美元（追回資金的10%）給予協助追回資產的區塊鏈安全專家。然而，Arkham Intelligence 的數據顯示，自週五下午以來，Bybit 的熱錢包已流出約 23,000 個比特幣，其 Bitcoin 餘額從 70,000 個比特幣下降至 52,000 個比特幣以上，資金外流約…