港大服务器遭受黑客攻击 部分内部文件外泄；300万电动牙刷涉嫌DDoS攻击，到底是真是假？

2024年2月8日，港大教育学院的电脑服务器于上周二(30日)遭受网络攻击，部分内部文件或外泄，学院发现事件后即时中断服务器连接，而校方和外聘的网络安全顾问已彻查事件，并已报警及向个人资料私隐专员公署报告。

校方7日发出新闻稿，指学院于上周五(2日)起检查相关的日志档案，随后发现一些内部文件，包括课室预约纪录、内部指引、系统管理文件，及自2012年起的会议议程文件和会议纪录，有机会已被外泄。

经初步评估，档案或涉及约400名访问学者资料、约3,000名学生的学习进度和约4,000名研究式研究生课程申请人的摘要。学院称，目前无证据显示外泄的资料涉及任何个人的薪金、银行户口资料或身份证号码。学院表示正积极检视事件，正采取可行措施以减低事件带来的影响，并会加强整体网络保安措施。

教育学院对今次事件深表遗憾，谴责一切形式的非法网络活动，并向可能受影响的人士致以衷心歉意。学院特设了电邮，供怀疑受事件影响的人士联系，又呼吁他们提高警觉，以防范可能外泄的资料被滥用、误用、恶意或非法使用。学院正就此事件通知学生和校友，并将持续检视情况，适时再作进一步通知。

个人资料私隐专员公署(私隐专员公署)回应指，今日收到港大教育学院的资料外泄事故通报，涉及大约7,400名受影响人士。公署知悉相关机构正通知受影响人士，并已根据既定程序就事件展开循规审查。

一篇广受关注的报道指出，有300万支电动牙刷可能被恶意软件感染，用于发动分布式拒绝服务（DDoS）攻击，但这个故事存在争议。瑞士新闻网站Aargauer Zeitung报道称，据一名来自网络安全公司Fortinet的员工称，这些牙刷感染了Java恶意软件，并被用于对一家瑞士公司进行DDoS攻击。报道指出，“电动牙刷是用Java编程的，犯罪分子在不知不觉中安装了恶意软件 - 就像在300万其他牙刷上一样。”据称，一条指令就足以使这些牙刷同时攻击一家瑞士公司的网站，导致该网站瘫痪了四个小时，造成数百万美元的损失。

然而，这个报道引发了争议，因为没有记录表明这次袭击曾真实发生过。Fortinet公司被认为是这篇报道的消息来源，但自从“牙刷僵尸网络”故事开始传播以来，他们没有发布任何关于这次攻击的信息，也未对评论请求作出回应。

DDoS攻击是一种使目标网站无法使用的方式，攻击者通过发送大量请求或数据淹没其资源或带宽，使其无法再接受合法访问者的请求。虽然黑客活动中越来越多地使用这种类型的攻击，但值得怀疑的是，300万支电动牙刷是否真的会暴露在互联网上，从而感染恶意软件。相反，这可能只是Fortinet公司与该报分享的一个假设场景，被误解或断章取义，以创造一个受到安全专家广泛争议的故事。

值得注意的是，电动牙刷不直接连接到互联网，而是通过蓝牙连接到移动应用程序，然后将数据上传到基于网络的平台。这意味着像这样的大规模黑客攻击只能通过供应链攻击来实现，将恶意固件推送到设备上。但没有记录显示发生过这种情况。

尽管“牙刷DDoS僵尸网络”故事引人入胜（尽管几乎可以肯定是不真实的），但它仍然提醒我们，威胁行为者可能会针对任何暴露于互联网的设备。这包括路由器、服务器、可编程逻辑控制器（PLC）、打印机和网络摄像头。因此，任何暴露在互联网上的设备都必须拥有最新的安全更新和强密码，以防止被招募到DDoS僵尸网络中。