HKIRC与香港警务处携手合办《钓鱼电邮演习2023》
逾万雇员参与创新高 提升业界网络安全意识
2023年8月2日，香港 – 香港互联网注册管理有限公司（HKIRC）联同香港警务处网络安全及科技罪案调查科合作举办的「钓鱼电邮演习2023」已经完满结束。日前于警察总部警政大楼举行发布会，分享演习的成果。是次演习是首次由HKIRC及警方携手合办，参与的机构数量和员工人数都得以提高，计划规模较去年增加近两倍，共有185机构，共10,326名员工参与演习，特别是得到中小企的积极参与，显示有效提升业界的关注，令人鼓舞。
（左起）中国移动香港有限公司董事兼行政总裁李帆风、香港互联网注册管理有限公司行政总裁黄家伟、网络安全及科技罪案调查科（网络安全、法理鉴证及训练）高级警司林焯豪、网络安全及科技罪案调査科（网络情报组）高级督察吴柏慧（右）指尽管业界和社会大众防范钓鱼电邮的意识提高，但不能因此掉以轻心。
HKIRC行政总裁黄家伟工程师指出：「对于能够令演习的参与人数倍增，我们感到非常满意，反映出推广和宣传工作取得了积极效果。过去，HKIRC一直致力推动香港成为一个更安全的互联网环境，并与警方及其他合作伙伴定期举办网络安全研讨会。单在去年，HKIRC所推出的『网络安全员工培训平台』（Cybersec Training Hub），为中小企提供免费网上资源，协助机构提升员工的网络安全意识，在短短一年间已成功培训超过8万位用户。」
一成六参加者点击钓鱼电邮 「视像会议邀请」最易令人上当
参与是次演习的机构员工，会在一个月内收到共五封不同主题的仿真钓鱼电邮，包括「订阅AI聊天机械人服务」、「视像会议邀请」、「电邮账户身分验证」、「外卖平台问卷调查」及「IT部门核实密码请求」，参加者如果点击了电邮连结进入预设的网站，便会视为「上钓」，即是遭受钓鱼攻击。当中有近一成六的参加者点击了至少一封电邮连结，而在这些参加者中，有近三成开启了多于一封电邮的链接，显示他们在网络安全意识方面还有进一步提升的空间；而在机构层面方面上，185间参与演习的机构中，有六成一的机构至少有一名员工点击了电邮连结。
而在是次演习中，点击率最高的电邮是「视像会议邀请」邮件，达到7.3%。网罪科高级警司林焯豪指：「相信大部分参加者的日常工作也会接收视像会议连结的电邮，对有关电邮戒心较低；其次是『订阅AI聊天机械人』及『IT部门核实密码请求』电邮，两封电邮的点击率同样是5.6%。这也不难理解，白领一族逐渐开始使用AI聊天机械人辅助日常工作，而他们对看似由公司内部发出的邮件的戒心也相对较低。」
电邮骗案数字持续滑落 基层高层均不宜松懈
根据警方公布的数字，过去五年，本港电邮骗案数字持续下降，由2018年894宗案件辗转回落至去年391宗（-56%），损失亦由2019年顶峰的 $25.3亿元大幅减少七成至去年$7.5亿元。而今年首5个月，电邮骗案数字继续滑落，录得共71宗案件，比去年同期155宗下跌超过一半（-54.2%），损失更大幅减少近九成至$5000万元。
黄家伟续称：「尽管是次演习的表现有所改善，我们还是需要继续努力，六成一的机构受到仿真网络钓鱼攻击显示仍然有很大的进步空间，因此我们还需要借着钓鱼演习等来提醒中小企。」从是次演习的结果可见，基层员工普遍认为他们所持有的数据并不重要，网络安全只是属于高层的责任，然而，黑客向来取易不取难，攻击者可能透过基本员工的账户潜伏，慢慢扩大攻击范围，偷取其他机密数据。
事实上，骗徒往往会从大家的日常生活中着手，例如近期常见的钓鱼短讯。在发布会上，中国移动香港有限公司董事兼行政总裁的李帆风先生就分享道：「公司现时会根据警方分享可疑网页列表，在用户点击相关链接时会发出提醒。但单计公司旗下用户在上星期的数据显示，列表上4千多个网页平均每日都有超过100万次的访问次数，情况较想象中更为严峻。」
黄家伟总结指：「面对日新月异的钓鱼攻击，要做好防御工作，需要每个人都主动多走一步。不仅只是高层，更是全公司员工的责任，尤其面对钓鱼攻击的『零信任原则』不可忽视，建议机构提供或寻找培训来加强对基本员工的网络安全意识培训，在入职时给予培训及每年定期重温。透过这些培训，员工可以学习如何辨识钓鱼邮件，如何报告可疑的邮件或行为，以及如何遵守『零信任原则』，提高员工的警觉性和安全意识。」
HKIRC推免费培训平台 助业界认识网络安全
HKIRC推出的Cybersec Training Hub为一个免费培训平台，用户只需记住简易网址 cyberhub.hk ，即可为员工灵活安排接受培训时间，例如入职时便可以依照平台的指引进行自助培训。培训平台的内容趣味性与实用性兼备，并且有本地数据和案例，贴近现实工作环境，确保员工获得最基本的网络安全意识和技能。此外，该平台的培训内容设计得非常易于理解，即使是没有IT技能背景的员工也能参与。
通过Cybersec Training Hub的培训，员工可以进行小测试，测试完成并且合格后，便可获得电子证书乙张。电子证书有助于企业评估员工的网络安全认知和技能，增强企业维护网络安全的信心。此外，透过这样的培训平台，企业可以扩大员工受培训基数，从最根本的源头做起，保障公司的网络安全。
-完-
关于香港互联网注册管理有限公司
香港互联网注册管理有限公司 (HKIRC) 为香港特别行政区政府指定的非利润分配、非法定担保有限公司，专责从事香港地区顶级域名 (即 .hk及.香港) 的行政工作。HKIRC所提供的域名登记类别包括英文的.com.hk、.org.hk、 .net.hk、.edu.hk、.gov.hk、.idv.hk、.hk，及中文的.公司.香港、.组织.香港、.网络.香港、.教育.香港、.政府.香港、.个人.香港、.香港，和将会在香港推出其他相关域名的服务。
传媒联络
香港互联网注册管理有限公司
市场推广部
电话：+852 2319 3835
电邮： marketing@hkirc.hk