2023年10月29日 星期日

網絡安全太落後 有中學7年無更新系統淪黑客獵物

文匯報

(香港文匯報記者 文禮願)香港數碼港及消費者委員會的電腦系統先後被黑客攻破,盜取了大量機密資料並進行勒索,但事件只是冰山一角,部分企業機構也曾中招。兩名成為黑客「點心」的學校及中小型地產經紀行負責人日前在接受香港文匯報訪問時,訴說與黑客鬥智鬥力經歷。他們所犯的網絡漏洞大忌值得公眾引以為鑑:長年無更新網絡安全系統,以及員工網絡安全意識薄弱,開啟了帶有病毒的連結。有專家表示,黑客是「無差別」入侵各地企業、機構的網絡,香港不少大專院校、中小學、連鎖地產公司、航空公司甚至公營機構都中招,可怕的是即使繳付贖金,黑客仍會食言照舊公開及兜售機密資料,故企業必須提高保安意識。 

香港文匯報記者發現,黑客「無差別」發動入侵,看似沒保存太多機密資料的中學,同樣成為黑客獵物。位於九龍區某所中學,去年初遭黑客「洗劫」,盜取了校內多份重要資料。

揭發事件的行政部主任周小姐憶述事發經過時仍猶有餘悸:「當日早上8點如常返到學校打開電腦,發現多份檔案被鎖住,包括一批學生入學紀錄、校方財務賬目,以及過去10年捐助校方的善長名單及聯絡資料。」

黑客大小通吃 掠校方50萬元

最初,她以為只是中了電腦病毒,馬上找資訊科技部同事來檢查,細查下才發現被黑客盯上。該黑客更單刀直入要挾在兩周內繳交50萬港元贖金,否則將有關資料在網上公開,令校方無地自容。

該校校長及高層知道後震驚,馬上召開緊急會議商討對策。有同事反對付贖金,但又擔心黑客公開學生資料會惹來家長及同學不滿,為免事情鬧大,決定息事寧人,繳付了50萬元贖金了事。

黑客見輕易得手,即指令校方盡快入錢。然而為免身份敗露,黑客拒絕透露其銀行入數賬戶,而是要求校方到尖沙咀一間虛擬貨幣場外找換店(OTC),將50萬元購買加密貨幣Bitcoin,然後存入指定的貨幣錢包內。被嚇得膽戰心驚的周小姐決定代校方完成「任務」。入數後,眾人忐忑不安地等待黑客回覆。黑客收錢後沒有食言,翌日隨即解鎖檔案。

眼見危機終於解除,校方馬上聘請網絡保安專家徹查「受襲」原因,發現漏洞原來出於電腦系統太舊所致。周小姐語帶無奈地說: 「校方為了慳錢,7年沒更新系統。」她慨嘆校方並非大企業,一度以為沒什麼資料好偷,沒想到黑客大小通吃,扼緊校方的「死穴」作威脅。經此一役,校長馬上聘請網上保安公司全天候監察電腦系統,同時每年進行至少一次系統測試,確保沒有漏洞。

專家點評:版本老舊 無升級無支援

智慧城市聯盟資訊科技管理委員會主席龐博文指出,太舊的電腦軟件或系統往往難以抵禦黑客入侵,「有些公司或機構現仍沿用2012年的伺服器系統。這類版本太舊的軟件都有一個共通點,就是原廠已不再提供任何支援,即使發生問題亦無法得到安全升級,令黑客有機可乘。」

網絡勒索日漸普遍,過去3年已有百多間企業及機構遭黑客入侵,其中不乏大企業。到底黑客是如何揀選目標?龐博文坦言,「暗網」上的犯罪分子勒索目的無非為錢,因此沒什麼針對性,犯案往往隨機應變,保安意識相對較低的企業,較易成為目標,「黑客每日會透過所有社交媒體、即時通訊軟件及電郵發放無數假訊息,誘騙使用者點擊連結,令他們『感染』勒索軟件後進行勒索。」

與此同時,黑客亦會做足功課,每日留意在網上公開的訊息安全漏洞數據庫,了解最新的安全漏洞,然後在「暗網」下載相關的安全漏洞掃描工具,甚或自行編寫有關工具,然後在網絡上發動大規模掃描,只要發現任何機構的網絡設備存在這些漏洞,就會抓緊機會攻擊。

沒有留言:

張貼留言