網絡安全與私隱
基礎網絡威脅包括病毒、木馬、勒索軟件等惡意軟件與網絡釣魚；防護靠防毒軟件、防火牆、加密、強密碼與雙重驗證；香港《個人資料（私隱）條例》訂明保障資料原則，規管個人資料的收集與使用。
- 惡意軟件家族按傳播與偽裝方式分辨：病毒依附檔案、蠕蟲自播、木馬偽裝、間諜軟件偷資料、勒索軟件鎖檔勒索。
- 網絡釣魚攻擊人心：細看域名、警惕恐慌措辭、謹記機構不會索取密碼與驗證碼。
- 防毒管內部偵測，防火牆管出入口；更新修補漏洞，離線備份是最後保險。
文體小知識：科技知識說明文——分析惡意軟件與網絡釣魚等常見威脅，講解加密、強密碼與雙重驗證等防護措施，並說明香港個人資料私隱的保障原則。
§課文原文 Passage
1上網的每一步都伴隨風險。惡意軟件是專為破壞或竊取而設的程式：電腦病毒附於檔案，開啟受感染檔案便傳播；蠕蟲無須依附檔案，自行在網絡上複製蔓延；木馬程式偽裝成有用軟件，騙取安裝後開後門；間諜軟件偷偷收集用戶行為與資料；勒索軟件把檔案加密鎖起，勒索金錢換取解鎖。
2網絡釣魚是社交工程攻擊的典型：攻擊者偽冒銀行、學校或政府機構發出電郵或短訊，誘騙收件人點擊連結，進入以假亂真的網站輸入密碼與信用卡資料。識別釣魚訊息要看三處：連結網址與官方域名是否相符、訊息是否製造緊急恐慌、有否要求提供密碼或一次性驗證碼。
3防護措施分多層。防毒軟件偵測並清除惡意軟件，須定期更新病毒定義；防火牆監察進出網絡的流量，按規則阻擋可疑連線；作業系統與應用程式須及時更新，修補保安漏洞；重要檔案定期備份至離線位置，即使遭勒索軟件破壞也能復原。
4加密把明文變成只有持密碼匙者能讀的密文，是保護資料機密性的核心技術：網頁傳輸採用 HTTPS，磁碟與備份也可加密。驗證則確認用戶身分：密碼是最常用的驗證方法，強密碼應該夠長、混合大小寫字母、數字與符號、不含個人資料，且不同帳戶不用同一密碼；雙重驗證在密碼之外加一層一次性驗證碼，大幅降低密碼外洩的風險。
5個人資料私隱受香港法例保障。《個人資料（私隱）條例》訂明六項保障資料原則，大致要求：收集須有合法目的且以合法公平方式進行，不多收不必要的資料；資料須準確，達到目的後不應無限期保存；使用不得超出原來目的；須採取切實可行的保安措施；政策須公開透明；當事人有權查閱及要求改正自己的資料。
1重點摘要 Summary
網絡威脅包括病毒、木馬、勒索軟件等惡意軟件與網絡釣魚；防護靠防毒軟件、防火牆、加密、強密碼與雙重驗證；香港《個人資料（私隱）條例》訂明保障資料原則，規管個人資料的收集與使用。
2生字卡 Vocabulary
專為破壞系統、盜取資料或謀利而設計的軟件總稱，包括病毒、蠕蟲、木馬等。
依附於檔案、待受感染檔案被開啟時傳播並破壞的惡意程式。
以偽冒訊息誘騙用戶進入假網站，騙取密碼、信用卡號碼等敏感資料的攻擊。
監察進出網絡的流量並按規則阻擋可疑連線的保安設備或軟件。
偵測、阻擋並清除惡意軟件的工具，須定期更新病毒定義才能對付新威脅。
把明文轉成只有持正確密碼匙者能解讀的密文，保障資料的機密性。
長度充足、混合大小寫字母、數字與符號、不含個人資料且不跨帳戶重用的密碼。
登入時除密碼外再要求另一種憑證（如一次性驗證碼），密碼外洩也不易被盜用。
可直接或間接識別在世人士身分的資料，例如姓名、電話、地址與身分證號碼。
香港《個人資料（私隱）條例》訂明的六項原則，規管個人資料的收集、保存、使用、保安、透明度與查閱改正。
3逐步講解 Steps
- 第一步：認識惡意軟件家族惡意軟件是各類破壞性程式的總稱，答題要能逐類分辨。電腦病毒依附在其他檔案之上，用戶開啟受感染檔案才發作並繼續傳播；蠕蟲不須依附檔案，能自行透過網絡複製蔓延，消耗資源；木馬程式把自己偽裝成有用軟件，誘騙安裝後在系統開後門；間諜軟件悄悄記錄用戶行為並送出；勒索軟件把受害者的檔案加密，勒索金錢換取解鎖。舉個例子：同一封信可以是病毒（要開附件才中招）、蠕蟲（自己爬進網絡）或木馬（裝成禮物），分辨關鍵在於傳播與偽裝方式。
- 第二步：網絡釣魚與社交工程網絡釣魚不攻擊機器，而是攻擊人心：攻擊者偽冒銀行、學校或公共機構，發出聲稱帳戶將被凍結、中獎待領等電郵或短訊，誘使用戶點擊連結，進入外觀與真站無異的假網站輸入密碼與信用卡資料。識別要點有三：細看連結網址是否與官方域名相符，假冒網站常在域名上動手腳；警惕製造緊急與恐慌的措辭；正規機構不會經訊息索取密碼或一次性驗證碼。舉個例子：收到銀行短訊附連結要求核對資料，應自行輸入官方網址登入核實，而非點擊訊息內的連結。
- 第三步：防毒軟件與防火牆的分工兩者都是基本防護，但職責不同。防毒軟件駐守裝置之內，掃描檔案與程式，偵測已知的惡意軟件並清除，病毒定義必須定期更新，否則新型惡意軟件無法辨認；防火牆駐守網絡出入口，按規則審查進出流量，阻擋可疑連線與埠，把未經授權的存取拒諸門外。舉個例子：防火牆如大廈閘機，按名單放行阻擋；防毒軟件如屋內保安，巡視已進入者是否可疑——兩層並用，內外兼顧，缺一都會留下空隙。
- 第四步：更新與備份的底線作用作業系統與應用程式的更新常包含保安修補：軟件漏洞被公開後，攻擊者會搶先利用，及時更新等於把大門的鎖換新；拖延更新，裝置便長期暴露在已知漏洞之下。備份則是最低限度的保險：把重要檔案定期複製到外置硬碟或離線位置，即使遭勒索軟件加密、硬碟損壞或誤刪，也能從備份復原，不必交付贖金。舉個例子：機構的伺服器即使被勒索軟件鎖死，只要昨夜備份仍在離線硬碟，今天便可重建系統，損失僅一天資料。
- 第五步：加密與強密碼加密把明文變成密文，沒有正確密碼匙便讀不出內容，是機密性的最後防線：網上傳輸採用 HTTPS 加密，手機與電腦的磁碟也可整體加密，遺失裝置亦不至於洩露資料。密碼是最常用的驗證手段，強密碼三原則：夠長，一般建議至少十二個字符；混合大寫、小寫、數字與符號；不使用姓名、生日、電話等個人資料，並且不同帳戶使用不同密碼，避免一處外洩、全線失守。舉個例子：把一句只有自己知道的口訣混合數字符號改寫成密碼，既長又雜，也較易記住。
- 第六步：雙重驗證與帳戶保安雙重驗證在密碼之外增加第二種憑證，常見形式包括：短訊或應用程式發出的一次性驗證碼、驗證器應用定時產生的動態碼、指紋或面貌等生物特徵。登入時兩者齊備才可通過，攻擊者即使盜得密碼，沒有第二重憑證仍無法進入。使用時也要注意：驗證碼等同密碼，任何索取驗證碼的訊息都是危險訊號；開啟雙重驗證後應妥善保存後備驗證方法。舉個例子：社交帳戶開啟雙重驗證後，即使密碼在別處外洩，盜用者登入時仍需手機上的動態碼，帳戶得以保住。
- 第七步：個人資料私隱與保障資料原則個人資料指可識別在世人士身分的資料，香港以《個人資料（私隱）條例》規管其收集與使用，核心是六項保障資料原則：收集須有合法直接關連的目的，並以合法公平方式進行，不多收不必要資料；資料須準確，目的達成後不應超期保存；使用不得超出原來目的，除非得到同意；須採取切實可行的保安措施；私隱政策須公開透明；當事人有權查閱及要求改正。舉個例子：參加抽獎被要求填出身分證號碼與全部聯絡方式，便應追問收集目的，這正是原則中「不超乎適度」的要求；日常亦宜定期檢視應用程式的權限，不隨意授出通訊錄與位置。
5例題示範 Example
情境題：某中五學生的社交媒體帳戶被人入侵，其密碼是自己的出生日期，而且在社交媒體、電郵與網上遊戲三個帳戶重用同一密碼。試分析帳戶被入侵的可能原因，並為該學生設計一套包括強密碼與雙重驗證的保安方案。
- 找出弱點：出生日期可從社交媒體貼文與個人資料推算，屬易猜密碼；三個帳戶重用同一密碼，一處外洩便全線失守。
- 訂立強密碼準則：長度至少十二個字符，混合大小寫字母、數字與符號，不含姓名、生日等個人資料；三個帳戶分別使用不同密碼。
- 啟用雙重驗證：在三個帳戶開啟雙重驗證，登入時除密碼外須輸入驗證器應用產生的一次性動態碼，密碼即使外洩亦難以登入。
- 配合日常習慣：不點擊可疑訊息內的連結，不向任何人透露驗證碼；定期更新裝置系統，並為重要資料定期離線備份。
- 答案：被入侵的原因是密碼易被推算且跨帳戶重用。保安方案：為每個帳戶設定長度至少十二、混合大小寫字母、數字與符號且不含個人資料的不同密碼；在所有帳戶開啟以驗證器動態碼為第二重憑證的雙重驗證；日常不點擊可疑連結、不透露驗證碼、保持系統更新並定期離線備份。多層防護互相補足，即可大幅降低再被入侵的風險。
6常見錯誤 Mistakes
75 題快測 Quick check
Q1以下行為哪一項最可能是網絡釣魚：要求點擊連結核對銀行資料的短訊，還是銀行官方應用程式內的月結通知？
Q2勒索軟件的典型行為是甚麼？
Q3雙重驗證如何降低密碼外洩造成的損害？
Q4保障資料原則中，「使用不得超出原來目的」指甚麼？
Q5下列哪一個屬於強密碼：小明2020 還是 kR7!vP2qXm94？
8重點回顧 Recap
- 惡意軟件家族按傳播與偽裝方式分辨：病毒依附檔案、蠕蟲自播、木馬偽裝、間諜軟件偷資料、勒索軟件鎖檔勒索。
- 網絡釣魚攻擊人心：細看域名、警惕恐慌措辭、謹記機構不會索取密碼與驗證碼。
- 防毒管內部偵測，防火牆管出入口；更新修補漏洞，離線備份是最後保險。
- 加密保機密，強密碼夠長、夠混合、不重用；雙重驗證令密碼外洩也難被盡用。
- 《個人資料（私隱）條例》六項保障資料原則：合法公平收集、準確適度保存、限定目的使用、切實保安、公開透明、查閱改正。