香港私隐公署指数码港因五缺失引致个资外泄

香港私隐公署指数码港因五缺失引致个资外泄香港个人资料私隐专员公署（简称私隐专员公署）星期二（4月2日）发表香港数码港管理有限公司（简称数码港）资料外泄事故的调查报告，显示此事故是由五项缺失导致。综合《明报》和网媒“香港01”等报道，数码港去年8月发现系统被黑客组织入侵，盗取逾1万3000人的资料，在勒索不果后将这些资料上传暗网，造成资料外泄。相关资料超过400GB，包括相关人士的姓名、身份证号、护照号码、银行账户信息等。根据网络安全专家的调查，事故起因是黑客取得数码港一个具管理员权限的账户凭证，通过远端桌面连接进入内部网络，随后通过各种工具进行网络恶意活动，致使数码港13个Windows系统和两台虚拟服务器被入侵。私隐专员公署说，上述事故波及1万3632人，当中约四成为求职者和已离职雇员（5292人）。私隐专员公署报告列出导致事故的五项缺失，即一、数码港的资讯系统欠缺有效的侦测措施；二、没有为远端存取资料启用多重认证功能，以核实获授权可远端登入数码港网络的用户身份；三、对资讯系统进行的保安审计不足，事发前最后一次审计距离资料外泄事故发生已超过19个月，无法适时应对资讯科技的变化和网络安全的风险；四、未能让员工有具体的网络保安框架可依循；五、没有根据资料保留政策在保留期届满后删除所收集得的个人资料。2024年4月2日5:43PM

私隐专员公署指数码港资料外泄源于五项缺失　再犯属刑事罪行

私隐专员公署指数码港资料外泄源于五项缺失再犯属刑事罪行私隐专员公署公布数码港资料外泄事故调查报告，指事故源于五项缺失，包括资讯系统欠缺有效侦测措施，个人资料被不必要保留等。私隐专员钟丽玲表示，公署已将报告及执行通知送达数码港，要求对方在两个月完成有关指示，之后向公署提交证据，又指如果再次违规，将是刑事罪行。钟丽玲表示，调查发现数码港不必要地超过期限地保留个人资料，当中最长的个案，由2016年开始保留，而根据数码港的政策，求职者的资料只会保留一年，而雇员的资料，就只会在受雇期间保留，有关员工离职后就要删除。公署曾就求职者和离职雇员资料的保留原因，向数码港作出查问，但数码港未能解释原因。对于涉事的人士可以如何追讨。钟丽玲表示，私隐条例有相关说明，如资料当事人，因机构违规而蒙受损失，可提出民事索偿，但一切需视乎有无足够证据。她表示，如当事人有任何查询或需要协助，可联络公署跟进。2024-04-0212:21:01

数码港资料外泄　私隐专员公署至今接获11宗查询

数码港资料外泄私隐专员公署至今接获11宗查询个人资料私隐专员公署回应数码港资料外泄事故时表示，截至今日共接获11宗相关查询。私隐专员公署表示，在上月18日收到数码港的资料外泄事故通报，公署已根据既定程序就事件展开循规审查，亦已建议有关机构应尽快通知受影响人士，现阶段未能披露进一步资料。考虑到事故涉及个人资料外泄，已设立热线电话和电邮供公众查询或投诉，公署呼吁受影响人士若怀疑个人资料被外泄，可向公署或相关机构作出查询或投诉。公署指出，受影响人士要提高警惕，慎防个人资料被盗用，保障个人资料私隐，例如考虑更改网上帐户密码，并启用多重认证功能；留意个人电邮或帐户有没有不寻常的登入记录；审视银行月结单，以确定是否有任何未经授权的活动；收到不明来历或可疑的来电、短讯或电邮时要提高警觉，切勿随意打开附件或披露个人资料；以及对网络钓鱼及其他诈骗行为提高警觉。公署亦建议持有个人资料的机构，应制定针对资料管治和资料保安的内部政策和程序，包括委任合适的领导人员负责资料保安，及提供足够的培训予工作人员。在启用新系统和新应用程式前，以及在启用后定期进行资料保安风险评估，以及须采取合约规范方法或其他方法，以防止转移予资料处理者的个人资料在未获准许或意外的情况下被查阅、处理、删除、丧失或使用等。创新科技及工业局局长孙东就数码港被黑客入侵外泄个人资料事件表示强烈谴责，已经指示全面提升网络系统，当局亦要避免发生同类事件。2023-09-1317:46:58(2)

私隐公署：消委会缺失致450人资料外泄涉违规　已指示纠正

私隐公署：消委会缺失致450人资料外泄涉违规已指示纠正个人资料私隐专员公署完成有关消委会资料外泄事故的调查，私隐专员钟丽玲表示，事故是由于消委会的缺失所致，没有采取所有切实可行的步骤以确保个人资料受保障，违反了私隐条例的规定。她已向消委会送达执行通知，指示消委会纠正及防止类似违规情况再发生。钟丽玲指出，消委会的缺失包括没有为远端存取资料启用多重认证功能、没有妥善设定用作侦测及拦截网路安全威胁的软件、欠缺足够保安措施禁止或防止于测试伺服器内储存个人资料、资讯保安政策有欠全面及具体，以及保障个人资料私隐及网络安全意识不足。私隐专员公署提出多项建议，以减低资讯系统被攻击的风险，包括对遥距登入资讯及通讯系统使用多重身份验证、设定稳健的网路保安框架、定期对资讯系统进行风险评估及保安审计、建立重视数据安全的企业文化及建立有效的培训计划，加强员工对资料私隐的意识和能力。公署说，消委会资料外泄事故涉及超过450人，包括投诉人、资讯科技服务供应商员工，以及消委会现职和前员工的个人资料。消委会去年9月曾交代，电脑系统遭黑客入侵，被勒索50万至70万美元赎金，现职员工、前员工、家属、《选择》月刊订购户及投诉人等的资料可能外泄。2024-05-0211:07:17(1)