【CTgoodjobs x HKCNSA】人力資源網絡安全工作坊圓滿舉行 拆解招聘陷阱 助HR築起防詐第一道防線

隨着招聘流程日益數碼化，網絡罪犯亦相應調整攻擊手法，人力資源（HR）部門因日常處理大量求職者個人資料，逐漸成為網絡攻擊的熱門目標之一。為協助HR專業人士及中小企僱主提升警覺，CTgoodjobs聯同中國香港網絡安全協會（HKCNSA），於8月21日舉辦全港首個以「招聘安全」為主題的實戰工作坊，邀請兩位資訊安全專家分享實戰知識，超過80名業界代表參與，助其拆解招聘陷阱，保護團隊及公司資料。

是次工作坊由Josephine Knowles（中華電力人力風險管理經理）及Luanne Yu（亞太區知名奢侈零售品牌資訊安全管治、風險及合規專家）擔任演講嘉賓，為一眾HR們拆解在日常工作中容易忽略的網絡安全漏洞。

HR為何成為攻擊目標

HR因具備存取公司人事系統的特殊權限，加上每日需處理大量附有求職文件的電郵，無意間開啟惡意檔案的風險相對較高，因此容易被網絡罪犯視為理想的攻擊入口。Josephine指出，HR經手的資料，例如求職者的期望薪酬、住址、個人電話及銀行帳戶資料，對犯罪分子而言價值極高，可用作偽造身份或製作更具說服力的詐騙郵件。

• 她進一步拆解四種常見攻擊手法，包括：
• 針對性極高的「魚叉式網絡釣魚」、
• 隱藏於求職文件中的惡意附件、
• 透過電郵或受感染網站植入的勒索軟件，
• 以及冒充管理層身份，向HR施壓要求更改薪資帳戶或提供員工敏感資料的手法。

實用貼士：識別可疑電郵

面對愈趨精密的詐騙手法，Josephine建議HR同事在處理電郵時，可留意以下警號：

• 發件人地址是否與公司網域不符，或存在細微串法錯誤、
• 內容是否帶有威脅或催促語氣，要求限時內完成某項事情、
• 語氣或用字風格是否與該發件人以往習慣不同，
• 以及是否使用「Dear User」等通用稱謂，而非直接以姓氏稱呼收件人。

她補充，雖然生成式AI令傳統的文法錯誤不再是警號，但透過留意對方的行為模式，仍能有效提高警覺。

此外，Josephine提醒大家亦要檢查副本（CC）名單是否含有不相關的地址， 以及附件格式是否異常，例如正常履歷多為PDF、Word或JPEG格式，若收到如.zip等壓縮檔案或其他格式文件，便需提高警覺。

她強調，即使未能百分百確定電郵是否有問題，亦應盡快向公司IT或資安團隊舉報，抱持「寧可錯報，不可不報」的態度，既能保障自己，亦有助保護其他同事免受同類攻擊影響。

深偽技術 與招聘流程的隱藏風險

第二部分，則由Luanne分享HR在接觸應徵者時應留意的異常行為。她指出，現時單靠文字錯誤已不足以判斷風險，HR應改為觀察對方的溝通行為，例如應徵者是否要求繞過公司指定的招聘平台（例如Workday）提交履歷；聲稱的工作經驗與其LinkedIn資料是否吻合；或嘗試將溝通轉移至Telegram、WhatsApp等公司無法監察的個人通訊軟件。

她提醒，個別警號未必代表對方涉及詐騙，但多項異常同時出現時，便應停一停、核實對方身份，並盡量將溝通維持在公司官方流程之內。

至於視像面試日益普及，她亦分享簡單方法識別Deepfake偽冒面試者身份，例如觀察畫面邊緣是否出現不自然變形、聲音與口型是否同步，或要求對方將手指放於臉部前方，觀察影像有否異常扭曲。

HR與IT合作　建立無懼通報的企業文化

企業在與獵頭公司或外部合作夥伴合作時，應遵循「最小特權原則」。Luanne提到分享，HR及IT應避免開放內部招聘系統的存取權限，改以獨立資料夾接收檔案，並限制上傳格式及設定存取期限，從源頭降低風險。她同時建議，員工離職時HR與IT團隊，應審查其系統存取記錄，並留意是否有將公司檔案轉寄至個人電郵的情況。

Luanne建議公司可在員工入職首日加入十至十五分鐘的基礎資安培訓，持續提升同事的警覺性。此外，她強調推動「免責通報文化」的重要性，鼓勵員工發現可疑情況時主動舉報，而非因擔心受責而選擇隱瞞，從而讓風險能夠及早被發現和處理。

網絡威脅日新月異 CTgoodjobs與業界同行 共築資安防線

網絡安全從來不只是IT部門的責任，而是每位在職人士，尤其是掌握大量敏感資料的HR團隊，都必須具備的基本意識。是次工作坊透過真實案例拆解，讓與會者對招聘過程及日常工作中潛藏的資安風險有更具體的認識，亦提供了不少可即時應用的實用方法。

CTgoodjobs將持續為人力資源業界提供貼近市場所需的專業培訓及最新行業資訊，未來會繼續與業界夥伴合作，舉辦更多針對HR實務挑戰的工作坊及活動，助企業與從業員一同應對瞬息萬變的職場環境，攜手打造更安全、更具韌性的工作場所。

⏩⏩  需要請人？立即刊登招聘廣告！  ⏪⏪