数码港资料外泄 私隐公署:未有采取有效措施保障资讯系统安全

#港闻【Now新闻台】数码港去年八月被黑客勒索，超过1万3千人个人资料外泄。私隐专员公署指，数码港违反保障资料规定。公署指，数码港资讯系统没有为远端存取资料启用多重认证功能，导致黑客透过远端桌面连接进入数码港网络，窃取系统中的个人资料，同时部分受影响人士资料，被保留超过期限，导致近四成人不必要地受事件影响。公署认为数码港未有采取足够及有效措施保障资讯系统安全，向他们发出执行通知，需要彻底检视资讯系统安全及保安措施。数码港回应指，已加强多项措施提升资讯系统保安及数据安全。

私隐专员公署指数码港资料外泄源于五项缺失　再犯属刑事罪行

私隐专员公署指数码港资料外泄源于五项缺失再犯属刑事罪行私隐专员公署公布数码港资料外泄事故调查报告，指事故源于五项缺失，包括资讯系统欠缺有效侦测措施，个人资料被不必要保留等。私隐专员钟丽玲表示，公署已将报告及执行通知送达数码港，要求对方在两个月完成有关指示，之后向公署提交证据，又指如果再次违规，将是刑事罪行。钟丽玲表示，调查发现数码港不必要地超过期限地保留个人资料，当中最长的个案，由2016年开始保留，而根据数码港的政策，求职者的资料只会保留一年，而雇员的资料，就只会在受雇期间保留，有关员工离职后就要删除。公署曾就求职者和离职雇员资料的保留原因，向数码港作出查问，但数码港未能解释原因。对于涉事的人士可以如何追讨。钟丽玲表示，私隐条例有相关说明，如资料当事人，因机构违规而蒙受损失，可提出民事索偿，但一切需视乎有无足够证据。她表示，如当事人有任何查询或需要协助，可联络公署跟进。2024-04-0212:21:01

数码港资料外泄　私隐专员公署至今接获11宗查询

数码港资料外泄私隐专员公署至今接获11宗查询个人资料私隐专员公署回应数码港资料外泄事故时表示，截至今日共接获11宗相关查询。私隐专员公署表示，在上月18日收到数码港的资料外泄事故通报，公署已根据既定程序就事件展开循规审查，亦已建议有关机构应尽快通知受影响人士，现阶段未能披露进一步资料。考虑到事故涉及个人资料外泄，已设立热线电话和电邮供公众查询或投诉，公署呼吁受影响人士若怀疑个人资料被外泄，可向公署或相关机构作出查询或投诉。公署指出，受影响人士要提高警惕，慎防个人资料被盗用，保障个人资料私隐，例如考虑更改网上帐户密码，并启用多重认证功能；留意个人电邮或帐户有没有不寻常的登入记录；审视银行月结单，以确定是否有任何未经授权的活动；收到不明来历或可疑的来电、短讯或电邮时要提高警觉，切勿随意打开附件或披露个人资料；以及对网络钓鱼及其他诈骗行为提高警觉。公署亦建议持有个人资料的机构，应制定针对资料管治和资料保安的内部政策和程序，包括委任合适的领导人员负责资料保安，及提供足够的培训予工作人员。在启用新系统和新应用程式前，以及在启用后定期进行资料保安风险评估，以及须采取合约规范方法或其他方法，以防止转移予资料处理者的个人资料在未获准许或意外的情况下被查阅、处理、删除、丧失或使用等。创新科技及工业局局长孙东就数码港被黑客入侵外泄个人资料事件表示强烈谴责，已经指示全面提升网络系统，当局亦要避免发生同类事件。2023-09-1317:46:58(2)

黄凤娴称或有待电脑黑客「撕票」后才掌握哪些资料外泄

黄凤娴称或有待电脑黑客「撕票」后才掌握哪些资料外泄消委会电脑系统被黑客入侵，勒索50万至70万美元赎金，消委会已报警，并向个人资料私隐专员公署备案。消委会说，勒索软件已盗取消委会部分内部资料，正深入调查是否涉及个人资料外泄，未来数天会接触可能受影响人士。消委会总干事黄凤娴表示，绝对不会交付赎金，可能要等待「撕票」后才可确实掌握有何资料外泄，目前风险评估显示，或涉4类人士，包括员工和前员工及其家属、《选择》月刊8千订购户、投诉人资料及合作伙伴等，提醒相关人士提高警惕。她强调，消委会有投放资源提升网络安全，包括在市场采购最佳作业模式的保安系统，但由于黑客无孔不入，手法层出不穷，因此难以做到「防弹不被入侵」。消委会主席陈锦荣表示，事件不涉及个别员工点击网络钓鱼，而是牵涉网络安全问题。对于是否与数码港事件相似，陈锦荣说不掌握。他又说，在有关事件发生后，消委会曾内部讨论网络安全问题，并即时提高警觉及检视系统，但仍然发生事故，需要汲取教训，保安系统要与时并进。被问到涉及甚么黑客组织和勒索软件，陈锦荣表示，不知道是甚么组织，消委会已报警，警方会调查，消委会不方便透露掌握的资料。2023-09-2212:07:37

【葛珮帆：数码港资讯保安系统没有做多重认证，属于很低级保安错误】

【葛珮帆：数码港资讯保安系统没有做多重认证，属于很低级保安错误】2024年04月05日10点48分老不正经报道，数码港去年8月遭黑客入侵，大批资料被盗。个人资料私隐专员公署调查报告指出，数码港事故存在五大缺失，包括资讯系统欠缺有效侦测措施，个人资料被不必要保留等，导致超过1.3万人的资料外泄。立法会资讯科技及广播事务委员会主席葛珮帆昨日在电台节目表示，数码港资讯保安系统没有做多重认证，令黑客打通所有通道，属于很低级保安错误，不应该发生。

私隐专员公署调查：数码港未能有效侦测黑客暴力攻击资讯系统

私隐专员公署调查：数码港未能有效侦测黑客暴力攻击资讯系统私隐专员公署公布数码港资料外泄事故调查报告，指数码港未有采取足够和有效措施，保障资讯系统安全，也未有及时根据保留资料政策，删除已届保存期限的资料。公署认为，数码港未有采取切实可行步骤，确保涉事个人资料受保障和不受未获准许或意外的查阅和处理等，以及确保资料保存时间，不超过使用资料实际所需时间，违反相关规定。公署说，数码港资讯系统欠缺有效侦测措施，导致未能有效侦测黑客以暴力攻击资讯系统，令黑客能成功获取具管理员权限的帐户凭证，并进行勒索软件攻击和窃取储存系统内的个人资料。公署说，数码港没有为远端存取资料启用多重认证功能、核实获授权可远端登入数码港网络的用户身分；又指对资讯系统进行的保安审计不足，未能适时应对资讯科技变化和网络安全风险。私隐专员钟丽玲认为，数码港是一间具规模的机构，恒常持有并处理大量不同人士的个人资料，持分者和公众会合理期望数码港投入足够资源，确保系统和数据安全，因此应采取足够保安措施。公署表示，私隐专员已向数码港送达执行通知，指示纠正违反事项，又建议公司设立个人资料私隐管理系统，并委任保障资料主任，适时对系统进行风险评估，及适时删除个人资料，防止类似违规再次发生。数码港去年向公署通报资料外泄事故，电脑系统和档案伺服器被勒索软件攻击和恶意加密，事故导致超过13000人的个人资料外泄。2024-04-0211:08:25(1)