昔日東方洩7.2萬會員私隱 南華會6大缺失
【本報訊】南華體育會今年3月發生資料外洩事故，個人資料私隱專員公署昨公布調查報告。私隱署認為事故是可以避免，但南華會保護會員個人資料的意識薄弱，對於南華會事前未能採取有效資訊系統保安措施，感到非常失望，裁定南華會違反《個人資料私隱條例》，已向南華會送達執行通知，要求糾正，以及防止類似違規情況再次發生。
受外洩事件影響的南華會會員數目為72,315人，所涉及的個人資料包括姓名、香港身份證號碼、護照號碼等。
黑客潛伏逾2年仍不察
私隱署的調查發現黑客早於2022年1月已在南華會其中一台與互聯網連接的伺服器內安裝了惡意程式，到今年3月，黑客透過潛伏在相關伺服器內的惡意程式，入侵南華會網絡，並安裝遠端控制軟件，隨後透過遠端存取對南華會的電腦系統展開暴力攻擊，並進行其他惡意活動，最終透過勒索軟件將載有會員個人資料的檔案加密。
有關的勒索軟件屬Trigoma的變種，外洩事件導致南華會共8台伺服器、一台數據儲存器及18台電腦遭受勒索軟件攻擊及加密。黑客曾要求南華會支付贖金，為已被加密的檔案解鎖。
4小時嘗試登入2萬次
公署指南華會在事件中有6項缺失，包括伺服器被意外暴露在互聯網，成為黑客入侵的跳板、資訊系統亦欠缺偵測措施，未有啟用密碼輸入失敗後的鎖定功能，令黑客可以在4小時內嘗試登入兩萬次，南華會亦無為管理員帳戶啟用多重認證功能，欠缺保安政策及指引，以及沒有定期進行風險評估及保安審計，亦欠缺離線數據備份方案。
基於有關調查結果，公署已向南華會發出執行通知，要求每年至少審視一次個人資料系統連結互聯網的必要性，定期檢視及更新偵測及警示工具，聘請獨立資訊保安專家每年進行風險評估以及保安審計。南華會須在兩個月內提交改善措施的證明文件。
至於為何黑客潛伏逾兩年始犯案，私隱專員鍾麗玲估計是相關黑客在期間收集一定的資訊量，待時機成熟才下手；亦有可能是犯案的不止一個黑客，有人收集足夠資料後轉售另一黑客才發起大規模攻擊和勒索。被問及黑客向南華會提出勒索多少贖金，她指不便透露，但強調機構如遇上類似情況絕對不要順從黑客要求，以免助長非法行為。
人人做記者
爆料方法 :
爆料熱線：
(852) 3600 3600
傳 真：
(852) 3600 8800
SMS：
(852) 6500 6500
