繼機電工程署後，又一政府部門出現網絡安全漏洞！公司註冊處上月披露「電子服務網站」電子查冊系統出現個人資料外洩風險，處方日前（3 日）表示系統已完成維修，證實有 11 萬人的個人資料外洩，私隱專員公署已即時展開調查，資科辦亦要求各政府部門檢視保安措施。 想知最新科技新聞？立即免費訂閱！ 系統出現 3 漏洞致資料外洩 公司註冊處在上月 19 日公布，例行檢查時發現其電子服務網站內的電子查冊系統出現個人資料外洩風險，需要進行緊急維修，並暫停電子查冊服務。事隔兩星期，處方表示電子服務網站已完成緊急維修，堵塞了資料進一步外洩的風險，並已完成調查工作。 調查結果顯示，承辦商在設計系統時，除了提供查冊相關資料，還將額外個人資料傳輸到客戶端電腦。雖然這些額外資料並不會顯示在查冊結果頁面上，但如果查冊者在查冊結果頁面上，利用開發者工具（Web developer tool）或編寫程式（robotic search）查閱資料，便會取得額外的個人資料。公司註冊處在調查中亦發現，以電子方式提交持牌放債人委任第三方的通知書時，也曾出現同樣情況。 公司註冊處向受影響人士致歉 處方表示，是次事件約 11 萬人受影響，外洩資料包括姓名、完整護照號碼、完整身分證號碼、通常住址、電話號碼及電郵。處方稱已分批通知相關資料當事人，向他們解釋有關情況和致歉，又指出正徵詢個人資料私隱專員公署和政府資訊科技總監辦公室的意見，全面檢視事件及進一步加強保障個人資料的措施，以防止同類事件發生。 對於政府部門接二連三出現資訊保安事故，政府資訊科技總監辦公室在社交平台表示高度關注，資科辦已再次向所有決策局及部門首長發出清晰指示，要求部門全面檢視現有資訊保安措施，同時提醒其轄下所有系統和用戶必須嚴格遵守政府資訊保安規例、政策及指引處理敏感及個人資料，不可儲存於公有雲平台上，並要求部門在一星期內向資科辦回覆。…

機電署周四（2 日）公布，於疫情時「圍封強檢」所收集的 14 幢大廈、約 1.7 萬名公屋居民的姓名、聯絡電話、身分證號碼及住址等資料，近日毋須密碼即可在網上伺服器平台瀏覽。個人資料私隱專員鍾麗玲今日（3 日）形容事態嚴重，事件涉及人數較多，個人資料私隱專員公署已按正常程序啟動調查，暫未接獲市民投訴。 想知最新科技新聞？立即免費訂閱！ 機電工程署在 2022 年疫情期間曾負責「圍封強檢」行動，鍾麗玲指，早前收到一個相關投訴，指有關資料可在該伺服器平台瀏覽，私隱公署遂通知機電署。 機電署於周二（30 日）收到通知後即時查證，發現密碼登入系統失效，有關資料可在毋需輸入密碼的情況下瀏覽，涉及機電署於 2022 年 3 月至 7 月間，為應對疫情而執行「圍封強檢」行動時所收集的資料，隨即要求網上伺服器平台供應商移除有關資料。就上述事件，機電署已向私隱公署作出「資料外洩事故通報」、向警方報案，並通報政府資訊科技總監辦公室及保安局。 鍾麗玲指，漏洞存在時間是調查方向之一，建議相關部門全面審視其他資料有否出現類似情況，又建議機電署盡快通知受影響人士。…

數碼港去年中發生資料外洩事件，私隱專員公署發表調查報告，指數碼港欠缺足夠措施保障系統安全，以致去年兩度被黑客入侵及勒索，影響逾 1.3 萬人，當中有四成個人資料更已超過保留期限而未有刪除。公署認為事件涉及五大缺失，敦促數碼港糾正。 相關文章：【數碼港】8月中遭黑客入侵　逾400Gb資料網售235萬【數碼港被入侵】400GB數據暗網任睇　涉員工薪金履歷表 想知最新科技新聞？立即免費訂閱！ 經過 7 個月調查，公署表示事件共有 13,632 人受影響，包括近 8,000 名與僱傭有關人士，涉及 5,292 名求職者及已離職者資料。事件中外洩的個人資料除了姓名、身分證號碼、護照號碼、聯絡資料外，亦有部分人的財務資料、健康資料、照片、社交媒體帳戶資料等。 根據數碼港的資料保留政策列明，求職者資料只會保存一年，惟在外洩的個人資料中，卻發現有早於 2016 年求職者的資料，數碼港亦未能解釋保留資料原因。公署認為數碼港不必要地保留個人資料，令受影響人數增加。 公署又質疑，數碼港作為一間儲存大量個人資料的機構，事發時僅依賴一款反惡意軟件程式偵測異常活動，措施明顯不足及不成比例，以致未能有效偵測黑客以暴力攻擊其資訊系統。另外，事發時數碼港未有為遠端存取資料啟用多重認證功能，令黑客成功透過管理員帳戶進入網絡。 調查又發現，數碼港每兩年資訊系統作保安審計，事發前最近一次審計在 2021…

本港又發生機構遭黑客入侵事件！南華體育會周一（18日）於 facebook 表示，其電腦伺服器於日前遭受未經授權的第三方入侵，暫時未發現任何證據顯示個人資料遭洩露，已報警及通知個人資料私隱專員公署。私隱專員公署表示已接獲通報，相信事件或涉及約 7 萬人。 想知最新科技新聞？立即免費訂閱！ 南華體育會在通告中指出，其電腦伺服器於本月 17 日（周日）遭入侵，立即採取應對措施，關閉受影響的電腦設備，以保護其會員的個人資料安全，包括姓名、出生日期、身分證號碼、地址，並與專業的資訊的安全團隊、專家合作，對伺服器進行全面檢查及修復。 南華會稱已啟動緊急計劃，將通知受影響會員，促請會員提高警覺，並對是次入侵事件深表遺憾及抱歉，會盡一切努力確保同類事件不再發生，嚴厲譴責任何形式的網絡犯罪行為。 私隱專員公署表示，已收到南華體育會的資料外洩事故通報，可能涉及大約 7 萬名受影響人士，已根據既定程序就事件展開調查，呼籲受影響人士若懷疑個人資料被外洩，可向相關機構或公署作出查詢或投訴。 南華會為事件設立的專屬電郵： [email protected] 唔想成為下一個騙案受害人？ 網絡安全公司Green Radar聯同 wepro180 最新推出《網安…

法國政府的失業救濟和就業輔導機構 Pôle emploi 表示，其供應商的資訊系統被入侵，導致求職者個人資料外洩，估計約有 1,000 萬人受影響。有安全公司相信今次事件，與近月影響甚廣的 MOVEit 攻擊有關。 想知最新科技新聞？立即免費訂閱 ！ 是次事件外洩的資料包括個人全名及社會安全號碼，不包括電郵地址、電話號碼、密碼及銀行數據等敏感資料。截至 2022 年 2 月，有 600 萬人在 Pôle emploi 登記，而在攻擊發生前…

Microsoft 雲端服務遭 DDoS 攻擊事件再有新進展。相關黑客集團聲稱已入侵 Microsoft，並盜取 3,000 萬客戶資料，但 Microsoft 否認發生數據外洩事件。 想知最新科技新聞？立即免費訂閱 ！ 上月初 Microsoft 多項雲端服務出現服務中斷，包括 Outlook、Microsoft Teams、SharePoint Online 及 OneDrive for…

日前英國發生大規模網絡攻擊，有黑客透過 MOVEit Transfer 檔案傳送工具的漏洞，入侵薪酬服務商 Zellis 的數據系統，並盜取重要個人資料。英國廣播公司（BBC）、英國航空公司及連鎖藥妝店 Boots 承認旗下部分員工資料外洩。 想知最新科技新聞？立即免費訂閱 ！ MOVEit Transfer 為 MFT 檔案共享系統，日前被發現存在零時差漏洞 CVE-2023-34362，允許未經身分驗證的攻擊者存取資料庫，並已有黑客利用漏洞發動攻擊，微軟相信是次攻擊由勒索軟件組織 Cl0p 所策劃。 網絡安全廠商 Sophos…

日本汽車製造商豐田繼發現逾 200 萬汽車用戶資料或外洩後，事隔約半個月，於跟進調查中再發現兩項人為錯誤，導致部分亞洲及大洋洲客戶的個人信息洩露長達 7 年之久，當中更包括姓名、地址及電話號碼等個人資料。 想知最新科技新聞？立即免費訂閱 ！ 豐田在上月中表示，由於雲環境設定錯誤，令 215 萬汽車用戶的資料外洩 10 年，除了向外界致歉並更改雲系統設置外，亦隨即對負責營運雲平台的汽車數據手機公司 Toyota Connected Corporation 展開調查。經過詳細調查後，豐田果然發現由 Toyota Connected Corporation 所管理的雲環境中，有兩項同樣出現人為設置錯誤，令外部能訪問部分客戶信息。…

網絡安全事故頻生，企業到底對公司的安全性有幾大信心？Trend Micro 最近發表的一份調查報告話俾大家知，原來有 80% 受訪企業預計未來一年有可能發生客戶資料外洩，情況相當悲觀。而危機憂慮主要來自三個方面…… 雖然近月大量發生勒索軟件入侵事故，不過根據 Trend Micro 最近完成的「網絡資訊保安風險指標」(Cyber Risk Index) 報告顯示，企業最憂慮的網絡攻擊是中間人攻擊 (MitM)，而勒索軟件只排第二，而第三至第五位順次序為網絡釣魚與社交工程詐騙、無檔案式攻擊及殭屍網絡。今次報告一共訪問了來自全球 3,600 多間企業，其中令企業 CISO 資訊保安長最擔心的弱點共有三項，分別是企業本身的運作和基礎架構風險、數據防護及人為因素，一旦遭受網絡攻擊，可嚴重令企業流失客戶、知識產權損失及業務被中斷。 CISO 的擔憂並非全無根據，因為有 24% 受訪企業曾遭受 7…

總部設於法國巴黎的保險集團安盛（AXA），旗下亞洲子公司 Asia Assistance 受到勒索軟件 Avaddon 攻擊，集團在香港、泰國、馬來西亞及菲律賓的業務受到影響，更有客戶資料被盜取。有本地網絡安全專家估計，事件或源於有員工誤開勒索電郵內的有毒附件所致，由於保險公司客戶資料是極敏感資料，認為安盛需要盡快交代事件。 英國《金融時報》引述一篇暗網文章指出，黑客聲稱利用勒索軟件，盜取多達 3TB 安盛客戶資料，當中包括客戶個人身份、醫療及索償記錄，以至是銀行文件、個人身份證明文件截圖等，黑客並要求安盛在 10 天內與他們商討贖金安排，否則會將所盜取的資料公開。安盛則承認，部分泰國客戶資料外洩，強調正調查事件及已經通報監管當局，並會通知受影響客戶，及提供支援。除此之外，黑客還發動分散式阻斷服務攻擊（DDoS），癱瘓 AXA 官方網站，惟現時網站服務已逐步恢復正常。 香港資訊科技商會副主席（私隱及資訊保安）范健文接受查詢時稱，自己亦在暗網（Dark Web）留意到有人在討論安盛被網絡攻擊的事態發展，惟沒辦法證實對方是否發動攻擊的黑客。他續指，黑客通常是將受害者的重要資料鎖上，再要求對方交贖金以將資料解鎖，今次黑客更威脅將所盜取的資料公開，「似乎是特別具針對性的攻擊，畢竟保險公司與一間中小型貿易公司不同，其客戶資料往往涉及投保者病歷等極其敏感的資料，這些資料若被公開，對保險公司而言會是一個致命傷。」 范健文估計，今次事件或是因為 AXA 內部擁有接觸客戶敏感資料權限的員工，不小心開啟了可疑電郵內的附件或超連結所致，亦不排除有員工因為疫情在家工作，一時不慎令黑客有機可乘。他強調，AXA 需要公開交代事件來龍去脈、通知受影響客戶，以及交代如何保障用戶私隱。為盡量避免同類事件日後再發生，AXA 亦應該提升旗下員工對資訊安全，特別是可疑電郵的警惕性，以及在資料存取權限方面下工夫，避免敏感資料被太多員工存取。…