2024資訊安全趨勢

科技的快速進步和演化為社會帶來了許多好處，但同時也帶來了更複雜的網路威脅。除了2023年人工智慧（AI）技術的迅速崛起及其帶來的風險外，許多權威組織、專家和學者也對2024年的資安趨勢進行了其他預測。

首先，生成式AI仍然會因駭客的惡意使用而帶來更多的資安風險。隨著生成式AI的應用擴大，駭客可能通過讓機器學習錯誤的資料，入侵模型的資料儲存或流程架構，從而導致自然語言模型洩漏機密資料或使系統受到汙染而無法正常運作。這種情況被稱為「資料下毒」。此外，生成式AI還提高了詐騙能力，例如變種詐騙和網絡釣魚。未來，駭客有可能結合不同的AI工具，以更逼真的方式進行勒索活動。

其次，預計供應鏈攻擊也會增加，其中一種名為供應鏈連鎖攻擊的攻擊方式成為駭客的主要手段之一。該攻擊方式是駭客首先獲取其中一個系統的存取權，然後利用該權限侵入與之相連接的其他系統。這種攻擊方式可以有效地避開堅固的防禦，利用互相連接、受信任但相對脆弱的目標中的漏洞，從而滲透到安全性更高的系統中。

此外，生成式AI的普及還將導致雲端網路成為新的攻擊目標。由於運行這些模型的成本急劇上升，甚至達到數千萬美元。因此，駭客開始將目標轉向雲端，他們在雲端建立算力農場，以籌集資金來支持他們的行動。與數年前以加密挖礦為主要目標不同，未來雲端算力農場可能成為攻擊的焦點。此外，根據預測，雲端原生蠕蟲攻擊也可能大規模出現，駭客可以通過感染的雲端技術作為跳板，將感染擴散到其他地方。蠕蟲可以一次感染多個容器並進行大規模攻擊漏洞，實現偵查、攻擊和常駐等全部自動化。

最後，私有區塊鏈也將成為駭客的攻擊目標。與公有區塊鏈不同，私有區塊鏈採用集中化的設計，並且不會經常在攻擊中不斷強化。未來，駭客可能針對這類區塊鏈開發基於勒索的全新商業模式。在這些勒索行動中，駭客可能使用竊取的金鑰故意在區塊鏈上插入惡意資料或篡改現有的交易記錄，然後向受害者勒索贖金作為封口費用。

總結來說，2024年的資訊安全環境持續面臨著各種威脅與挑戰。我們需要關注人工智慧技術的應用與相應的風險，加強對雲端環境的保護並普及多重驗證機制。教育用戶建立防範意識以應對釣魚和勒索軟體攻擊。同時，區塊鏈技術的應用可以提供更安全的驗證方式。企業需要投資人才培訓並建立良好的資訊安全文化。我們也應該提高資訊安全意識，持續關注技術發展與相應風險，以確保我們的數字生活安全。

尹展軒

Senior IT Consultant

More Updates

At Ringus, we believe that responsible AI adoption is not just a trend—it’s a necessity. With AI transforming industries, leading organizations / entities like NIST, ISO/IEC, HK DPO, the EU, and the UK ICO have published critical guidance / frameworks / standards to ensure AI is ethical, transparent, and risk-aware.Key Best Practice / Standard for AI Deployment and Governance:👉 UK ICO Guidance on AI and Data Protection and AI and Data Protection Risk Toolkit – A reference guidance and toolkit to help businesses avoid privacy violations and bias in AI systems.👉NIST AI Risk Management Framework (AI RMF 1.0) – A structured approach to manage risks to individuals, organizations, and society associated with AI.👉EU AI Act (2024) and Relevant Guideline / Codes of Practice (Under Drafting) – A legal requirement that sets out a clear set of risk-based rules for AI systems and general-purpose AI models. Relevant guideline and Codes of Practice are under development to provide guidance on compliance of regulation.👉Ethical Artificial Intelligence Framework and Hong Kong Generative Artificial Intelligence Technical and Application Guideline  –  A framework that provide practical guidance on embedding ethical principles into AI adoption, focusing on fairness, transparency, and accountability.👉ISO/IEC 42001:2023 – The first global AI management standard, which provide a comprehensive, certifiable framework to establish, implement, maintain, and continually improve trustworthy AI management systems for ensuring responsible, ethical, and secure AI development and deployment.Why Compliance Matters✅ Builds Trust – Customers and regulators demand transparent and fair AI.✅ Reduces Legal Risks – Non-compliance with frameworks like the EU AI Act can lead to heavy fines.✅ Prevents Reputation Damage – AI failures, such as AI bias and privacy breaches, can harm your brand permanently.We help businesses integrate AI responsibly—aligning with global standards and requirements to minimize risks and maximize trust. Feel free to connect with our team for actionable insights on secure and ethical technology adoption.

Ransomware attack on InvestHK

The recent data breach and ransomware attack on InvestHK highlight the urgent need for organizations to prioritize cybersecurity. In an age where data breaches can compromise sensitive information and damage reputations, having a solid defense strategy is paramount.Implementing ISO 27001 as an Information Security Management System (ISMS) framework is a vital step in governing information processes and establishing robust security controls. This internationally recognized standard equips businesses with the tools to identify vulnerabilities and mitigate risks effectively.Moreover, establishing a well-defined incident response mechanism is crucial for managing crises when they occur. A proactive approach ensures that organizations can swiftly contain breaches, minimize damage, and recover operations seamlessly.About the incident: Click this link

量子計算技術與金融業

量子計算是一種基於量子力學原理的計算技術，能在同一時間處理多種可能性，極大提升計算速度和效率。傳統電腦需要數百萬年完成的運算，量子計算可能在數分鐘內完成。隨著技術領先國家在量子計算領域的突破，這項技術正逐漸從理論走向實用化，並預計在不久的將來對各行各業產生重大影響，尤其是對依賴計算的金融業。 金融業高度依賴複雜的數學模型進行風險評估、投資組合優化及市場定價，而量子計算能快速解決傳統電腦難以處理的問題。例如，它能高效計算金融衍生品的價格模型、模擬市場波動並優化高維度投資策略。此外，量子計算能對海量市場數據進行即時分析，提取模式並預測市場走勢，為交易提供更精準的數據。同時，它能顯著提升演算法交易的效率，幫助機構在短時間內搶佔市場先機。對資產管理而言，量子計算能快速處理多變量的資產組合，找到收益與風險的最佳平衡點，協助投資者實現資本增值。  然而，科技的風險與機遇並存，量子計算也不例外。最大挑戰是傳統加密技術的脆弱性。目前金融機構廣泛採用的加密技術基於數學計算的複雜性，而量子計算能快速破解這些技術。一旦攻擊者利用量子計算破解加密密鑰，金融交易、用戶隱私與系統安全將面臨重大威脅。此外，金融業處理大量敏感數據，如客戶身份、交易記錄和資金流動，若量子計算被惡意使用，可能導致數據洩露或交易遭操控。  一項模擬測試顯示，擁有足夠強大量子電腦的攻擊者可在數分鐘內破解2048位RSA加密技術，從而竊取交易數據或篡改支付內容。這表明量子計算可能引發高額資金損失、影響客戶信任甚至引發系統性金融危機。因此，金融機構需提前採取措施應對量子計算的潛在威脅。  應對量子計算帶來的風險，金融機構應採取以下措施：首先，逐步替換現有的加密技術，採用抗量子加密演算法，這些技術不依賴傳統數學難題，能有效抵禦量子計算的威脅。其次，實施分層次的安全策略，包括數據分段加密、即時威脅偵測和縱深防禦，即便某一層加密被攻擊，仍能限制損害範圍，確保系統安全。最後，模擬量子攻擊場景並測試新型加密方案的有效性，確保在量子計算普及後能迅速切換到量子安全技術。  總之，量子計算的興起為金融業帶來了巨大的機遇，但也伴隨著資訊安全的挑戰。傳統加密技術失效和數據隱私威脅是金融機構面臨的主要風險。然而，透過部署後量子加密技術和強化多層次防禦機制，金融業可有效降低量子計算的潛在風險。在量子時代真正來臨前，提前佈局是確保金融系統穩定、安全的關鍵。 尹展軒 Senior IT Consultant