• 公司註冊處電子服務網站洩11萬人資料
• 機電署洩露「圍封強檢」1.7萬名市民資料
• 消委會黑客入侵 450人資料外洩
• 數碼港1.3萬個人資料外洩 8000人資料逾期保留

香港雖然設有《私隱條例》，但似乎形同虛設。近年個人資料外洩事故頻生，更在半年內出現3單個案，當中涉及網上系統故障、黑客入侵及逾期保留個人資料等問題。

公司註冊處洩11萬人資料

多間港媒周五（5月3日）披露，公司註冊處「電子服務網站」洩露11萬人資料，包括姓名、完整護照號碼、完整身份證號碼、通常住址、電話號碼及電郵。公司註冊處表示，已完成緊急維修，封堵了資料進一步外洩的風險，亦已開始分批通知相關資料當事人，向他們解釋有關情況和致歉。

機電署洩漏1.7萬居民資料

港媒同日披露，機電署前年（2022年3月至7月）「圍封強檢」時，收集1.7萬名市民的個人資料外洩，包括大廈居民的姓名、聯絡電話、身份證號碼及住址資料。

機電署指，周二（4月30日）接獲私隱專員公署通知，有市民稱不需密碼，就可以在網上伺服器平台瀏覽「圍封強檢」時收集的居民資料，查核後發現密碼登入系統失效，隨即通知平台供應商移除資料。機電署在事發後兩日、周四晚上才發新聞稿對外公布，指已經報警及上報事件，並就事件致歉，會以信件通知受影響住戶。

機電署指，共有14幢大廈的居民受影響，包括德朗邨德瑩樓、啟晴邨欣晴樓、友愛邨愛明樓和富昌邨富良樓等。

消委會黑客入侵洩450人資料

除了機電署外，消委會亦出現個人資料外洩事故。個人資料私隱專員公署周四（5月2日）發表調查結果，指去年9月4日黑客組織ALPHV獲取並利用消委會一個具管理員權限的帳戶，透過虛擬私有網絡進入消委會的網絡，再到服務器及端點裝置進行勒索軟件攻擊，93個系統遭惡意加密、11個伺服器及端點裝置如員工座枱、公司手提電話或外置資料儲存裝置等被入侵；逾450人個人資料受影響，包括289名投訴人、26名資訊科技服務供應商員工、138名消委會現職及24名離職員工，涉及姓名、電話號碼、地址等。

私隱署指，消委會沒有為遠端存取資料、啟用多重認證，及妥善設定用作偵測及攔截的網絡安全軟件，令黑客組織輕易取得消委會的管理員權限帳戶並進入消委會網絡，促消委會設置遙距登入資訊及通訊系統使用多重身份驗證。

數碼港1.3萬個人資料外洩

另外，私隱署上月2日發表調查報告，指數碼港去年曾遭黑客入侵，導致1.3萬人資料外洩，更揭8000名求職者及離職者資料保留超過期限。外洩資料包括實習生、職員、求職者及離職者的身份證號碼、銀行戶口號碼及信用卡資料等。

私隱署認為數碼港在保障個人私隱方面有五大缺失，包括資訊系統欠有效偵測措施；無為遠端存取資料啟用多重認證功能；對資料系統的保安審計不足及不必要地保留個人資料等。

總總跡象顯示，不論數碼港還是政府機構，都存在網絡安全隱憂，一直以來都未有提升網絡保安系統保障市民個人資料。

棱角編輯部

支持我們：https://www.ls1.points-media.com/supports/

The post 香港《私隱條例》形同虛設？市民資料外洩 半年4單 appeared first on 棱角媒體.

• 數碼港電腦系統去年遭黑客入侵，逾1.3萬個人資料外洩
• 數碼港外泄的資料當中，部份超過法例容許的保留期限
• 公署裁定數碼港違例，促兩個月內糾正
• 數碼港去年8月6日遭黑客盜管理權限，並停止反惡意軟件

數碼港電腦系統去年遭黑客入侵，大量個人資料遭外洩，私隱專員公署調查發現，有超過1.3萬名員工和求職者的個人資料洩漏，當中包括超過5000名求職者的個人資料，部份超過法例容許的保留期限。而涉及的個人資料包括姓名、身份證號碼、身份證的副本、護照號碼，亦有部份人士的財務資料，例如銀行帳戶號碼 、醫療報告、照片、僱傭資料及信用卡資料等。

私隱專員公署批評資料外洩範圍相當大，批評數碼港欠缺足夠措施保障系統安全，又逾期保留資料，裁定數碼港違反《私隱條例》保障資料原則下，有關個人資料保安和保留的規定，指示數碼港在兩個月內糾正。

根據公署調查所得，數碼港去年8月6日遭黑客Trigona利用具管理員權限的帳戶，並透過遠端桌面連接進入數碼港的網絡，數碼港的多個伺服器及網絡儲存裝置受被入侵，涉及13個Windows系統及兩台虛擬伺服器，黑客又利用權限，成功停止資訊系統在事發時配備的一款反惡意軟件的功能。大約一周後，數碼港伺服器檔案遭勒索軟件攻擊及惡意加密，數碼港同日更改所有帳戶密碼，惟3日後收到勒索，之後再被攻撃，於是通知公署。

私隱專員公署指數碼港有五項缺失，包括資訊系統欠缺有效偵測措施、未有為遠端存取資料啟用多重認證功能和對資訊系統進行的保安審計不足，以至未能及早發現和阻止資料被竊取。資料私隱專員鍾麗玲表示，數碼港作為具規模的資訊系統機構，也是儲存和處理大量個人資料的機構，僅僅依賴一款反惡意軟件偵測異常活動，明顯是不足夠和不成比例。「當時數碼港並沒有啟用多重認證功能，若有啟用這個多重認證功能，我們覺得數碼港可能可阻止黑客透過有管理員權限的帳戶進入系統。」

鍾麗玲又指，數碼港的資料保留政策列明，求職者資料只會保存1年，惟公署從接獲投訴及査詢發現，數碼港外泄的個人資料中，包括早於2016年的求職者資料，數碼港事後亦未能解釋保留資料的原因。

數碼港去年8月中向公署通報事故，事隔一個月後有外國網站揭露事故後，數碼港才向公眾交代。被問到當中是否涉及通報機制缺失，鍾麗玲指現時未有條例規管機構通報事故的時限，公署事後已發信建議數碼港盡快通知受影響人士。目前私隱專員公署共接獲65宗涉及事件的查詢及33宗投訴，受影響人士可按私隱條例向數碼港索償，若過程中需查詢或協助亦可聯絡私隱公署。

棱角編輯部

The post 數碼港資料外洩涉逾1.3萬人 私隱公署裁違例促兩個月內糾正 appeared first on 棱角媒體.