Gartner 預測，到 2026 年，企業無法修補的攻擊面將佔總攻擊面的一半以上。企業的攻擊面不斷擴張，然而傳統漏洞管理聚焦於 CVE（已知漏洞），過度依賴 CVSS 分數，忽略資產的業務重要性與漏洞的可利用性，導致資源錯配，往往無法兼顧錯誤系統設定、未部署資安工具、老舊系統（EOL）、影子 IT（未經授權的應用）、雲端配置錯誤、程式碼弱點等問題。

有見及此網絡保安方案供應商 Fortinet 今日宣佈，旗下 FortiRecon 平台推出重大升級，以強化其持續威脅暴露管理（CTEM）能力。更新後的 FortiRecon 能全面支援 Gartner CTEM 框架的統一平台，協助企業從攻擊者視角主動識別風險、優先處理威脅，並加快應變流程，有效降低數據外洩風險。

▪️攻擊面管理：持續監控並提供組織內部與外部數碼攻擊面的攻擊者視角。新增國家漏洞資料庫（NVD）評級，結合 FortiRecon 主動利用嚴重性評級，提升漏洞修補效率；

Coveware by Veeam 日前發佈《2025年第二季度勒索軟件報告》，揭示全球勒索攻擊手法出現重大轉變，針對性社交工程與數據外洩已成為主流，導致企業贖金支付金額飆升至歷來新高。

Coveware 行政總裁 Bill Siegel 表示，今季可謂勒索攻擊的轉捩點，黑客不再單靠加密系統，而是鎖定企業員工、營運流程及數據聲譽進行攻擊。他強調，企業必須提升員工警覺性、加強身份驗證機制，並將數據外洩視為迫切風險，而非事後補救。

本季度主要勒索軟件變種包括 Akira（佔 19%）、Qilin（13%）及 Lone Wolf（9%），而 Silent Ransom 與 Shiny Hunters 則首次躋身前五名，顯示勒索軟件生態持續演變。

香港首個針對關鍵基礎設施的網絡安全法規《保護關鍵基礎設施（電腦系統）條例》，將於 2026 年 1 月 1 日正式生效。雖然新法例未必適用於一般企業，惟 AWS 香港暨台灣總經理王定愷認為，在網絡威脅不斷演變的環境下，企業仍應視網絡安全為首要任務，並呼籲企業加強事故應變能力，制定全面的應急計劃。

據香港網絡安全事故協調中心（HKCERT）的《香港網絡安全展望2025》報告顯示，「網絡釣魚」活動升至 5 年新高（去年錄得7,811 宗，佔整體事故的 62% ）。因此 HKCERT 提醒，企業今年須關注 5 大網絡安全風險，包括：

▪️第三方風險上升，如供應鏈安全漏洞等

美國能源部轄下的國家核安全局（NNSA）近日爆遇網絡安全事故，黑客透過 Microsoft SharePoint 文件管理系統的零日漏洞，成功入侵其網絡。雖然目前未有證據顯示敏感或機密數據外洩，但事件已引起政府及業界高度關注。

據《Bloomberg》報導，黑客利用一系列被稱為「ToolShell」的 SharePoint 零日漏洞，包括：

▪️CVE-2025-49706：偽裝（spoofing）漏洞，影響 SharePoint Server 2016、2018 及訂閱版；

在網絡世界，不時出現曾肆虐全球的惡意軟件再度活躍，甚至登上榜首的案例。Check Point 日前指出，惡意軟件 Remcos 再度成為香港最活躍的網絡威脅，滲透率高達 5.1%。報告同時揭示，黑客正透過惡意《Minecraft》模組及操控 AI 代理，持續擴展攻擊手法，令敏感數據面臨前所未有的風險。

根據 Check Point 日前發表的《2025 年 6 月全球威脅指數》，Remcos 在本港的活躍程度再度攀升，成為最猖獗的惡意軟件。其他活躍的惡意軟件家族如包括 FakeUpdates 及 Androxgh0st 亦不容忽視。

行業方面，工業及製造業為本港首要攻擊目標，其次為政府部門及消費者產品與服務。亞洲地區則以教育界首當其衝，緊隨其後為硬件及半導體行業，以及非牟利機構。