[Cybersec Wednesday]提防社交工程攻擊，加強網絡安全意識

香港互聯網註冊管理有限公司

香港互聯網註冊管理有限公司官方帳號

2023-04-27 09:09

企業專欄

內容

關於數據安全，我們通常會強調系統和網絡安全，注重系統和網絡設備的安全設置。然而，提防社交工程(Social Engineering)攻擊也很重要。社交工程是使用心理操縱來誘騙電腦用戶犯安全錯誤，最終導致洩露敏感數據。這種非技術手段往往非常有效，而且攻擊方式繁多，社交工程已是機構網絡安全最大的威脅之一。要保護機構免受社交工程攻擊，員工的網絡安全意識十分重要。正如電話詐騙一樣，如對社交工程攻擊手段有一定認識，有助減低中伏的風險。以下是一些常見的社交工程攻擊：

釣魚攻擊
釣魚攻擊是一類常見的攻擊手段。攻擊者一般會利用電郵、電話短訊等，假裝來自各種機構和人物，例如，銀行、商業合作夥伴、上司、朋友等等，內容通常帶有緊急性、威嚇性，或是利誘，促使收件人點擊惡意網站連結或是打開惡意軟件，達到竊取敏感資料的目的。
恐嚇軟件
網絡攻擊者可以利用電郵誘騙收件人相信他們的系統、網絡、電郵信箱已經被病毒感染，或者被入侵，甚至個人資料已經被網絡攻擊者掌控，從而誘使收件人跟隨網絡攻擊者的指示，例如下載隱藏病毒的軟件，點擊惡意網站連結，甚至繳付贖金以取回電腦控制權等等。
垃圾郵件
相信大家都曾經接收過垃圾郵件，當中的內容可能吸引你的注意。可是，大家要小心垃圾郵件上的連結和附件，因為它們可能含有惡意程式，可能引致你的電腦被入侵，個人及機構資料被外洩。

保護措施

要避免受社交工程攻擊，我們應該

1）避免點擊或打開來歷不明電郵或其他信息的連結、按鈕、附件等等。

2）考慮採用多因素認證（Multi-factor Authentication）來登入系統。

3）安裝防毒軟件，減少被惡意軟件入侵的機會。

4）定期進行數據備份。為防網絡攻擊者通過網絡把數據（包括備份）加密，我們應考慮準備離線數據備份，加強保護。

5）加強機構員工網絡安全意識，避免輕易相信來歷不明的信息，如有懷疑，可以考慮經另一渠道進行身份核實。

當然，要中小企制定網絡安全意識培訓是很困難的，尤其培訓由HR部門主導並不具太多技術知識去衡量培訓內容。有見及此，HKIRC推出了免費的網絡安全員工培訓平台（Cybersec Training Hub），旨在降低機構向員工提供網絡安全培訓的門檻。

如何開始Cybersec Training Hub網絡安全培訓