網絡安全太落後　有中學7年無更新系統淪黑客獵物

（香港文匯報記者 文禮願）香港數碼港及消費者委員會的電腦系統先後被黑客攻破，盜取了大量機密資料並進行勒索，但事件只是冰山一角，部分企業機構也曾中招。兩名成為黑客「點心」的學校及中小型地產經紀行負責人日前在接受香港文匯報訪問時，訴說與黑客鬥智鬥力經歷。他們所犯的網絡漏洞大忌值得公眾引以為鑑：長年無更新網絡安全系統，以及員工網絡安全意識薄弱，開啟了帶有病毒的連結。有專家表示，黑客是「無差別」入侵各地企業、機構的網絡，香港不少大專院校、中小學、連鎖地產公司、航空公司甚至公營機構都中招，可怕的是即使繳付贖金，黑客仍會食言照舊公開及兜售機密資料，故企業必須提高保安意識。 

香港文匯報記者發現，黑客「無差別」發動入侵，看似沒保存太多機密資料的中學，同樣成為黑客獵物。位於九龍區某所中學，去年初遭黑客「洗劫」，盜取了校內多份重要資料。

揭發事件的行政部主任周小姐憶述事發經過時仍猶有餘悸：「當日早上8點如常返到學校打開電腦，發現多份檔案被鎖住，包括一批學生入學紀錄、校方財務賬目，以及過去10年捐助校方的善長名單及聯絡資料。」

黑客大小通吃 掠校方50萬元

最初，她以為只是中了電腦病毒，馬上找資訊科技部同事來檢查，細查下才發現被黑客盯上。該黑客更單刀直入要挾在兩周內繳交50萬港元贖金，否則將有關資料在網上公開，令校方無地自容。

該校校長及高層知道後震驚，馬上召開緊急會議商討對策。有同事反對付贖金，但又擔心黑客公開學生資料會惹來家長及同學不滿，為免事情鬧大，決定息事寧人，繳付了50萬元贖金了事。

黑客見輕易得手，即指令校方盡快入錢。然而為免身份敗露，黑客拒絕透露其銀行入數賬戶，而是要求校方到尖沙咀一間虛擬貨幣場外找換店（OTC），將50萬元購買加密貨幣Bitcoin，然後存入指定的貨幣錢包內。被嚇得膽戰心驚的周小姐決定代校方完成「任務」。入數後，眾人忐忑不安地等待黑客回覆。黑客收錢後沒有食言，翌日隨即解鎖檔案。

眼見危機終於解除，校方馬上聘請網絡保安專家徹查「受襲」原因，發現漏洞原來出於電腦系統太舊所致。周小姐語帶無奈地說： 「校方為了慳錢，7年沒更新系統。」她慨嘆校方並非大企業，一度以為沒什麼資料好偷，沒想到黑客大小通吃，扼緊校方的「死穴」作威脅。經此一役，校長馬上聘請網上保安公司全天候監察電腦系統，同時每年進行至少一次系統測試，確保沒有漏洞。

專家點評：版本老舊 無升級無支援

智慧城市聯盟資訊科技管理委員會主席龐博文指出，太舊的電腦軟件或系統往往難以抵禦黑客入侵，「有些公司或機構現仍沿用2012年的伺服器系統。這類版本太舊的軟件都有一個共通點，就是原廠已不再提供任何支援，即使發生問題亦無法得到安全升級，令黑客有機可乘。」

網絡勒索日漸普遍，過去3年已有百多間企業及機構遭黑客入侵，其中不乏大企業。到底黑客是如何揀選目標？龐博文坦言，「暗網」上的犯罪分子勒索目的無非為錢，因此沒什麼針對性，犯案往往隨機應變，保安意識相對較低的企業，較易成為目標，「黑客每日會透過所有社交媒體、即時通訊軟件及電郵發放無數假訊息，誘騙使用者點擊連結，令他們『感染』勒索軟件後進行勒索。」

與此同時，黑客亦會做足功課，每日留意在網上公開的訊息安全漏洞數據庫，了解最新的安全漏洞，然後在「暗網」下載相關的安全漏洞掃描工具，甚或自行編寫有關工具，然後在網絡上發動大規模掃描，只要發現任何機構的網絡設備存在這些漏洞，就會抓緊機會攻擊。