黑客入侵消委會　勒索贖金達六位數

（香港文匯報記者 文禮願）繼數碼港被黑客入侵勒索，最終「撕票」導致多達400GB內部資料外洩後，香港消費者委員會的電腦系統亦遭黑客入侵，投訴人及訂購《選擇》月刊客戶的個人資料外洩，據悉黑客勒索六位數的贖金。有消息指，消委會早前曾委託專業會計師樓為有關系統進行安全測試，未料仍遭黑客攻擊。有專家相信，有可能是職員被誘騙開啟受感染勒索軟件檔案，或者安全測試做得未夠徹底。立法會科技創新界議員邱達根指出，黑客愈趨專業化，特區政府有必要訂立數據保護法，規管機構處理數據的手續，一旦證實機構沒有盡自身責任做足安全措施導致數據外洩，應予處罰。 

香港消委會前日在網站公布表示，該會的電腦系統前日（20日）發生故障，投訴及諮詢熱線、訂閱部、網上價格一覽通以及油價資訊通的服務一度受到影響 。警方昨日（21日）接獲該機構職員報案，指懷疑電腦系統被入侵。案件列作「有犯罪或不誠實意圖而取用電腦」，交由網絡安全及科技罪案調查科跟進，暫未有人被捕。

涉投訴人訂戶資料

據悉，消委會被人勒索六位數字贖金。該會昨日傍晚曾就事件召開緊急會議，確認有資料外洩，內部伺服器及網站一度故障，目前仍在評估受影響範圍。今日早上將會舉行記者會，預料會交代細節。消委會對於引起的不便，希望公眾體諒。個人資料私隱專員公署回應傳媒查詢時表示，昨日收到消委會的資料外洩事故通報，公署已根據既定程序就事件展開循規審查，亦已建議有關機構盡快通知受影響人士。考慮到事故可能涉及個人資料外洩，私隱署呼籲可能受影響人士提高警惕，慎防個人資料被盜用。

據了解，消委會早前曾委託專業人士進行電腦系統的安全測試，但仍成為黑客「獵物」。訊息安全專家龐博文接受香港文匯報訪問時表示，估計有兩大可能，一是職員被誘騙開啟受感染勒索軟件檔案，二是有關測試未夠深入或全面，以致存在漏洞也未有及時發現。「不管是什麼原因，今次事件已響起網絡安全警號，企業不要低估黑客的威脅，需定期做好安全測試。」

專家：試驗未全面或員工中伏

他指出，部分企業或機構雖有定期做安全測試，但往往只做網絡系統和伺服器，卻忽略員工的座枱電腦或手提電腦，又或是只測試有線網絡，卻沒有做無線網絡的測試，導致出現漏洞也沒有發現。他建議，企業做好全方位安全測試（Security assessment），並加強員工的網絡安全意識，不要隨意下載或點擊可疑網站，才可以建立完美防線，抵禦黑客入侵。今次事件是事隔一個月第二宗大型機構的電腦系統被黑客入侵，上月中數碼港遭勒索，有400GB數據被盜取及外洩，涉及員工及求職者的資料。

邱達根指出，不法分子轉趨專業化，有外國的犯罪集團會利用釣魚連結勒索，大型機構都會成為目標，即使機構的系統裝上防毒或安全軟件，都不能掉以輕心。「現在的世界技術、科技不停在更新，你如果只用一套保護軟件，其實你不是不停更新，一樣會有危機。」

邱達根認為，政府有需要盡快訂立數據保護法，規管機構處理數據的手續，企業或機構並要為一旦未盡自身責任做足電腦安全措施而導致資料外洩，處以罰則。

私隱公署建議

①予受影響人士

◆需要時可向相關機構或公署（電話：2827 2827、電郵：communications@pcpd.org.hk）作出查詢或投訴

◆考慮更改網上賬戶密碼，並啟用多重認證功能（如有的話）；

◆留意個人電郵或賬戶有沒有不尋常的登入紀錄；

◆審視銀行月結單，以確定是否有任何未經授權的活動；

◆收到不明來歷或可疑的來電、短訊或電郵時要提高警覺，切勿隨意打開附件或披露個人資料；

◆對網絡釣魚及其他詐騙行為提高警覺

②予消委會

◆制定針對資料管治和資料保安的內部政策和程序，包括委任合適的領導人員負責資料保安，及提供足夠的培訓予工作人員；

◆定期進行風險評估，在啟用新系統和新應用程式前，以及在啟用後定期進行資料保安風險評估；

◆採取一系列的技術上及操作上的保安措施；

◆採取合約規範方法或其他方法，以防止轉移予資料處理者的個人資料在未獲准許或意外的情況下被查閱、處理、刪除、喪失或使用；

◆採取資料保安事故發生後的補救措施；

◆定期監察、評估及改善資料保安政策的遵從情況