【點新聞報道】個人資料私隱專員公署今（23日）公布，私人康樂機構「又一村花園俱樂部」發生資料外洩事故，超過9,000名會員的個人資料被洩露，包括姓名、身份證號碼、電郵地址及電話號碼等。
私隱公署指，去年10月接獲該俱樂部通報，指其伺服器內的管理系統檔案遭勒索軟件加密，導致系統無法運作。調查發現，涉事伺服器由外判服務供應商負責提供及維護，但因遠端存取軟件版本過時，出現安全漏洞，導致黑客得以竊取服務供應商的賬戶憑證入侵伺服器。調查亦發現，伺服器長時間維持登入狀態，俱樂部並未實施額外的身份認證措施；同時，俱樂部所用的防毒軟件及防火牆亦已過時，未能有效偵測及阻止黑客活動。
又一村花園俱樂部為一所私人、非牟利的社交及康樂機構，專門為已登記會員及賓客提供康樂設施及餐飲服務。外洩事件合共影響9,045名資料當事人，包括1,553名活躍會員、1,723名附屬卡持有人、1,313名前會員，以及4,456名前附屬卡持有人。
受影響的個人資料包括姓名、香港身份證號碼及／或護照號碼、出生日期、電郵地址、聯絡電話及地址。在外洩事件發生後，又一村花園俱樂部已通知受影響的人士，並採取多項補救措施，包括停止使用存在漏洞的遠端存取軟件、對所有遠端存取連接進行監控、將所有伺服器及端點的防毒軟件及防火牆更新至最新版本，以及將儲存於伺服器內的個人資料檔案加密。
私隱專員鍾麗玲說，事件缺失是由於俱樂部欠缺資訊保安的機構性措施，使用過時並存在保安漏洞的遠端存取軟件，伺服器的遠端存取欠缺用戶身份 認證措施，俱樂部亦使用過時的防毒軟件及防火牆，並過長地保留個人資料，包括保留800多名前會員及3000多名附屬卡持有人的個人資料超過7年。
鍾麗玲指出，黑客一旦入侵會員及客戶資料庫，往往會竊取大量個人資料，並出售相關資料用作不法用途。她提醒機構，會員及客戶資料屬於機構的重要資產，也是網絡攻擊的高風險目標，機構應採取主動的策略，定期檢視資訊系統保安措施的成效，並投放足夠資源以保障會員及客戶的個人資料，從而遵從《私隱條例》的規定，符合資料當事人的合理期望。
收藏
取消收藏
分享
