商務旅客公共WiFi安全：在香港保護企業數據
在香港的商務旅客是WiFi攻擊的主要目標。普通商務設備上存放著企業電郵、財務系統、客戶資料及策略文件，一旦公共WiFi遭到入侵，後果遠比個人用戶嚴重。以下是在不影響工作效率的前提下保護企業數據的方法。
在香港的商務旅客是WiFi攻擊的主要目標。普通商務設備上存放著企業電郵、財務系統、客戶資料及策略文件，一旦公共WiFi遭到入侵，後果遠比個人用戶嚴重。以下是在不影響工作效率的前提下保護企業數據的方法。
商務旅客比普通個人用戶更容易成為針對性攻擊的目標，且攻擊者從中獲益更豐。個人用戶的帳號憑證或許只能帶來數百元的欺詐損失便會被發現；但商務旅客的企業電郵、ERP系統或金融平台憑證，卻可能讓攻擊者進入擁有數以百萬計資產的帳戶，或取得機密客戶資料及商業策略。正因如此，攻擊者願意投入精力進行有針對性的攻擊——識別高層人員、選擇高價值活動的時機出手——商務目標的回報遠遠高於隨機收集個人憑證。
香港作為主要商業樞紐，令這些目標高度集中。中環、金鐘及尖沙咀的酒店和會議走廊，聚集了大批來自亞洲各地乃至全球的到訪高管。各大會議中心——香港會議展覽中心（HKCEC）、亞洲國際博覽館——所舉辦的活動，其參與者的企業背景往往從活動手冊和LinkedIn上一覽無遺，為攻擊者提前準備針對性攻擊提供了便利。攻擊者若得知某大型銀行業會議正在HKCEC召開，便可預先架設一個針對與會者的「惡意孿生」網絡，精準狙擊這批擁有高價值金融業憑證的目標，效果遠勝隨機路過式攻擊。
商業電郵詐騙（BEC）是因公共WiFi暴露而導致企業憑證遭竊所引發的最具破壞性的攻擊類別。BEC攻擊者利用獲取的企業電郵帳號冒充持有人身份，將財務往來轉至其掌控的帳戶，包括付款指示詐騙、發票偽改及薪酬改向。每宗BEC事件的平均損失高達數十萬港元，針對香港企業的有組織BEC活動已獲HKCERT ↗及香港警方記錄在案。導致BEC的憑證盜竊可能發生於公共WiFi的中間人攻擊中，使公共WiFi安全與實際財務損失之間的關聯對商務用戶而言尤為直接。
大多數企業IT部門會為遠程訪問提供VPN客戶端，但這種企業VPN通常設計用於訪問內部資源（文件服務器、內聯網、業務應用程序），而非加密所有互聯網流量。分割隧道式企業VPN只將發往企業資源的流量通過加密隧道路由——發往一般互聯網目的地（雲端電郵、網頁瀏覽）的流量可能完全繞過企業VPN，直接通過不受信任的公共WiFi網絡傳輸。請諮詢IT部門，確認企業VPN使用分割隧道還是完整隧道，以及是否配置為在不受信任網絡上自動啟用。
為全面保護公共WiFi安全，商務旅客通常需要同時使用個人VPN（用於一般互聯網流量）和企業VPN（用於訪問內部系統）。建議操作順序：連接公共WiFi → 啟動個人VPN（加密所有流量）→ 在個人VPN之上建立企業VPN連接（在個人加密基礎上疊加企業訪問）。這種分層方案確保一般互聯網流量和企業專屬流量在到達不受信任的公共網絡之前均已加密。請確認企業VPN是否允許此配置——某些VPN產品之間會產生衝突，但基於WireGuard的個人VPN通常與基於IPSec的企業VPN能夠兼容共存。
若您所在的機構尚未制定遠程工作人員公共WiFi安全的正式政策，請積極推動。有效政策的關鍵要素包括：在任何非企業網絡上強制使用VPN、禁止在無VPN的情況下通過開放WiFi訪問企業系統、設備安全要求（全盤加密、螢幕鎖定超時設定在五分鐘以內、啟用防火牆），以及明確的WiFi安全事件報告程序。HKCERT ↗發布的機構網絡安全指引涵蓋遠程工作及公共WiFi章節——在制定IT政策時引用HKCERT指引，既能增添權威性，又能確保與香港特定最佳實踐保持一致。許多香港金融機構的電腦緊急應變小組（CIRT）條款亦包含公共WiFi事件分類規定。
在公共WiFi上使用的商務設備需要在標準消費者配置之外進行額外加固。全盤加密是最重要的基線保護措施：若您的設備在香港繁忙的咖啡廳或酒店環境中遭竊或被人趁機訪問，全盤加密可防止在不需要登入憑證的情況下從存儲設備中提取數據。在Windows上，啟用BitLocker（適用於Windows 10/11專業版及企業版）：設定 → 更新與安全性 → 設備加密。在macOS上，啟用FileVault：系統設定 → 私隱與安全性 → FileVault。兩者均採用AES-256加密，若尚未啟用，下次登入時將自動啟動。請妥善保存還原金鑰——一旦遺失，加密數據將無法恢復。
在公共場所使用的商務設備，螢幕鎖定超時應設定為五分鐘或更短。設備在咖啡廳桌上無人看管十分鐘——無論是去洗手間、點餐還是接聽電話——都足以讓攻擊者訪問已開啟的應用程序、安裝軟件或拍攝可見文件。在Windows上：設定 → 帳戶 → 登入選項 → 將「需要登入」設為「電腦從睡眠狀態喚醒時」，並在電源設定中將睡眠超時設為5分鐘。在macOS上：系統設定 → 鎖定螢幕 → 將「需要密碼」設為「立即」，螢幕保護程序設為5分鐘後啟動。通過Microsoft Intune（適用於企業管理設備）或Apple的「尋找」服務（適用於macOS/iOS）啟用遠程清除功能，以便在設備遺失或被盜後、數據被訪問之前將其清除。
請考慮商務出行是否真的需要攜帶主要工作筆記本電腦。對於前往高風險目的地或需要訪問特別敏感企業系統的出行，部分機構會發放「出行專用筆記本」——這類設備配置精簡、訪問權限最小化，僅供出行期間使用，返回後即清除數據。這種「乾淨石板」方式確保出行期間引入的任何惡意軟件、間諜軟件或配置更改不會影響主要企業環境。若無出行專用筆記本，至少應確保工作筆記本已移除所有不必要的應用程序、禁用所有不必要的網絡服務，並制定明確的設備在出行期間疑似遭受入侵時的應對程序。
企業數據使用公共WiFi的不可妥協原則是：所有企業系統訪問均須在已啟用並確認連接的VPN下進行。這意味著電郵、雲端存儲（OneDrive、Google Drive、SharePoint）、CRM系統（Salesforce、HubSpot）、ERP及金融平台、含機密內容的視頻會議，以及任何傳輸商業數據的應用程序，均只能在VPN處於活躍連接狀態下使用。在訪問任何業務系統前，通過VPN應用的連接指示器確認VPN已啟用——自動連接功能有時可能無法啟動，尤其是在具有強制門戶或連接問題的網絡上。在打開電郵客戶端之前進行一次5秒鐘的VPN狀態檢查，是一個值得養成的好習慣。
對於財務授權，應制定明確規則：任何情況下均不得在公共WiFi上進行財務授權、付款審批或資金轉移——此類活動必須專門使用流動數據或可信有線連接。商業電郵詐騙專門針對財務團隊成員在公共WiFi上通過電郵收到付款指示變更請求的情境。若犯罪分子已在該網絡上實施中間人攻擊，他們可能監控電郵通訊並進行篡改。即使有VPN保護，財務授權的後果足夠嚴重，使用流動數據作為額外預防措施是值得的，所增加的不便極為輕微。
對於香港金融服務業的從業人員（佔香港專業勞動力的相當比例），監管考量進一步強化了公共WiFi安全要求。香港金融管理局（HKMA）及證券及期貨事務監察委員會（SFC）已就網絡安全風險管理發布指引，涵蓋遠程訪問安全。香港金融機構通常對遠程訪問有比一般企業更嚴格的管控——要求所有遠程系統訪問均啟用多重因素驗證、記錄和監控遠程會話，並就疑似安全事件進行正式報告。若您在受監管的金融機構工作並對公共WiFi安全有所顧慮，請通過所在機構的合規及IT安全渠道反映，而非單純依賴個人措施。
