# 網上安全

NAS 自架唔一定抵：呢 4 類服務維護成本高過你諗，密碼庫同 email 最易出事

XDA 作者 Yash Patel 話自己放棄自架音樂串流、網站 hosting、email 同密碼庫。呢篇唔當佢結論照抄，反而拆下 NAS / homelab 用家點計維護、安全同停機成本。

惡意網站叫你貼指令，Opera 想喺 clipboard 前截停 ClickFix

Opera 推出 Paste Protect，話會喺惡意網站想塞指令入 clipboard 嗰刻擋低，再畀用家睇頭 120 個字元同選擇信任網站。ClickFix 呢類假 CAPTCHA、假修復提示，食中大家複製指令嘅習慣，開發者同 AI coding 用家要特別醒目。

Claude 幫手改 Prime Video TV app：Morphe 擋廣告背後嘅風險

Morphe 社群推出 Prime Video Android TV patch，聲稱可以移走廣告，開發者話 Claude 幫咗大忙。件事有趣唔只係擋廣告，仲牽涉 AI-assisted coding、串流平台條款、惡意 APK 同 TV box 安全。

Crypto Clipper 用 USB 手指同 Tor 偷 wallet，抄地址前要睇清楚

Microsoft 揭示一款 Windows crypto clipper，會靠 USB 惡意捷徑傳播，盯住剪貼簿偷 seed phrase、private key，仲會改 wallet address。重點唔係 crypto 幣價，而係平日抄地址、插 USB 呢啲小動作可以直接變成損失。

FTC 訂閱陷阱案唔只係幾隻爛 app，而係一套付款走位術

FTC 新訴訟指控 Genesis Tech 旗下多個 app 同網上服務，用低價試用、細字自動續費、難取消同多個付款戶口操作。重點唔係陰謀論，而係用戶點樣喺下載同付款前睇清 signals。

Secure Boot 舊 key 快到期：Windows、Linux 同 dual-boot 機真正要做咩

Microsoft 2011 年 Secure Boot 憑證由 6 月 24 起陸續到期。大部分支援中 Windows 機會經 Windows Update 處理；Linux 同 dual-boot 用戶就要留意 firmware、fwupd、shim/GRUB 同 BitLocker recovery key。

FIFA 直播內部系統出事：點解前端權限檢查唔夠用

TechCrunch 報道，一名研究員稱 FIFA 嘅公開球員代理平台帳號，因後端 API 冇做足授權檢查，一度可以接觸世界盃直播同評述資料系統。FIFA 未即時回應，研究員話問題已修補；最值得學係前端擋唔等於後端安全。

Google Messages 或會標記 AI 圖片來源：唔只分真同假咁簡單

Android Authority 拆解 Google Messages open beta，發現 app 可能準備喺圖片詳情顯示 C2PA / Content Credentials 資料，分辨 AI 生成、AI 改圖同相機拍攝。但功能未上線，真正價值係將來源標記放入日常訊息。

英國擬禁 16 歲以下用社交平台：真正麻煩係點驗年齡

英國 6 月 15 日正式宣布擬禁 16 歲以下用主要社交平台，仲會管網上遊戲陌生人聊天、直播同 AI 戀愛 chatbot。最大麻煩落喺平台點驗年齡、點處理 VPN 同私隱。

Google 起訴 Outsider Enterprise：AI 釣魚短訊已經變量產生意

Google 起訴一個名為 Outsider Enterprise 嘅涉詐騙集團，指佢用 AI 同釣魚套件量產假網站同短訊。件事未有法院定論，但已經講清楚一點：AI 詐騙最麻煩之處，係令低技術門檻嘅攻擊都可以大規模運作。

Gemini 被指幫手量產釣魚網站，Google 告 Outsider Enterprise

Google 入稟控告 Outsider Enterprise，指佢哋經 Telegram 賣釣魚工具，仲教人用 Gemini 寫假網站 code。今次重點唔係 AI 有幾神，而係短訊 scam 已經變成模板化生產線。

YouTube app 內 DM 回歸擴大測試：香港未有份，安全設定要睇清

YouTube 正將 app 內影片分享同私訊測試擴到更多地方，包括美國、英國、巴西同新加坡。Google support page 而家列出 40 個支援國家 / 地區，但截至 2026 年 6 月 11 日未見香港。

近百萬證件相公開上網：上載身份證之前，要問清楚三件事

The Verge 揭發一套 cannabis club 管理系統曾令近百萬張護照同相片證件暴露喺公開網上。事件未見牽涉香港服務，但對任何要你上載身份證嘅 app 都係提醒：KYC 方便，保存風險更要問清楚。

北韓假 IT worker 打入科技公司：remote hiring 已經係安全戰線

CrowdStrike 指 FAMOUS CHOLLIMA 佔其科技業 state-backed hands-on-keyboard 觀察 47%。呢唔係普通 phishing，而係假身份、remote contractor、GitHub 同 cloud 權限混埋一齊嘅供應鏈風險。

Meta 放寬審核後仇恨留言急升，問題唔止係美國政治

CCDH 分析近 800 萬則 Facebook 留言，指 Meta 2025 年放寬主動審核後，針對美國政治人物嘅攻擊留言大升。Meta 話全平台違規內容盛行率冇惡化，但兩邊量度嘅其實係兩件事。

Check Point VPN 漏洞已畀勒索軟件盯上，IT 要即刻查 IKEv1

CVE-2026-50751 影響 Check Point Remote Access VPN、Mobile Access 同 Spark Firewall 特定 IKEv1 設定，CISA 已列入 KEV。重點唔係美國三日限期，而係你嘅 gateway 有冇開住舊式 remote access。

AI 網紅愈嚟愈似真人：平台標籤救唔晒成個信任問題

AI 網紅以前似 CG 角色，而家可以混入日常 feed，賣貨、接廣告、扮生活分享都更難分辨。平台有 AI 標籤，但標籤多數跟單條內容走，未必講清楚帳號背後有冇真人。

Creative Katana V2X 漏洞：藍牙喇叭點樣變成入侵電腦跳板

研究員示範 Creative Katana V2X 可經 BLE 遠距刷入改過嘅 firmware，再靠 USB HID 對電腦輸入指令。今次唔應該擴大成所有喇叭都有事，但用開 USB + Bluetooth 周邊嘅人要識得降低風險。

IBM 前網安高層指控隱瞞入侵：企業要睇清 log 同披露條款

前 IBM threat intelligence 副總裁 William Barlow 喺已解封訴訟中，指控 IBM 曾經隱瞞 2013 至 2018 年間多宗入侵。IBM 否認違法。事件未定案，但提醒企業：買保安服務，唔等於自己有證據。

Dashlane 事件拆解：encrypted vault 畀人下載，風險喺邊？

Dashlane 今次唔係話大量密碼已經解密，而係攻擊者濫用新裝置註冊 API，成功下載少量 encrypted vault。真正要睇嘅係 master password 強度、2FA、電郵保護同已登入裝置。

Dashlane 2FA 被 brute force：加密 vault 被下載但唔係明文外洩

Dashlane 確認 5 月 31 日有外部攻擊者嘗試 brute force 2FA，成功下載少於 20 個個人 plan 用戶嘅加密 vault 副本。事件唔等於明文密碼已外洩，但暴露咗 password manager 用戶最需要檢查嘅三件事。

AI 新模型發布前先畀美國政府睇？特朗普新命令唔係審批制

特朗普簽署新 AI 行政命令，要求建立自願框架，畀政府最多提早 30 日接觸 covered frontier model。呢唔係強制牌照制，但可能改變 ChatGPT、Claude、Gemini 等模型同 API 功能嘅推出節奏。

Proton Mail 新招接駁 Gmail：轉會門檻低咗，但私隱帳要計清楚

Proton Mail 新功能容許用家喺 Proton 入面用 Gmail 地址寄收電郵，減低由 Gmail 轉會嘅陣痛。不過呢個係過渡橋樑，唔係即刻令 Gmail 變私密；香港自由工作者同中小企要同時諗私隱、工作流、資料保護同成本。

Proton Mail 新功能：保留 Gmail 地址轉會，香港用家要知嘅限制

Proton Mail 新增用 Gmail 地址收發郵件，令長期用 Gmail 做個人、freelance、網店或小企聯絡嘅香港用家，多咗一個低風險過渡方案。不過 Gmail 收到嘅郵件仍可能經 Google 處理，E2EE 亦有清晰限制。