俄黑客涉洩5.6萬港病人私隱 醫管局：配合警方調查

香港文匯報訊（記者 文禮願）醫院管理局日前證實一宗懷疑病人資料遭未經授權取走，並洩露至第三方平台的事件，涉及來自九龍東醫院聯網的5.6萬多名病人。案件已交警方網絡安全及科技罪案調查科跟進。香港文匯報發現，多達252,892則病歷資料 （部分病人有多則資料外洩）及1,130名手術室員工的個人資料在暗網被公開，並有超過5,600次下載紀錄。有熟悉網絡安全的網民發現，事件疑似與俄羅斯著名黑客Demetrius有關。

該名熟悉網絡安全的網民指出，Demetrius上周四（2日）以個人名義在暗網發出帖文，指手上有一份載有逾20萬則病歷的香港醫管局資料可供免費下載。據悉，這次已非Demetrius第一次「公諸同好」，他向來以高超的黑客技術及愛炫耀能力聞名，過去曾多次在暗網上公開機密資料。

單是去年9月至今，他已發布26則從不同渠道取得的洩密檔案，當中涉及俄羅斯及法國政府，以及多家私人企業。有網絡安全專家分析，Demetrius的行動並非為了勒索金錢，而是為了展示其黑客技術。

專家表示，若洩密事件的元兇證實是與Demetrius有關，醫管局有必要重新檢視其臨床管理系統（CMS）及數據管理的網絡安全政策。他指出，這些核心系統應具備嚴格的造訪控制及操作記錄功能，若有人於內部盜取相關檔案，應留下曾查閱甚至抄走資料的紀錄，不可能完全沒有痕跡。他建議警方循此方向展開調查。

專家：應時刻加密相關數據

Demetrius的洩密檔案可見，資料屬於2020年至2025年未加密的醫管局臨床管理系統數據庫檔案。檔案顯示該系統同時連結手術室預約系統和人事護理資訊系統。

專家認為，醫管局應時刻將相關數據進行加密，即使內部員工亦不應擁有權限輕易查閱。

醫管局發言人昨日表示，一直以開誠布公的態度，適時透過合適方式向公眾交代，而事件懷疑涉及刑事成分，對外公布的時間及內容必須符合刑事調查相關法例，對於有評論罔顧事實及相關法例，醫管局表示遺憾。在考慮相關因素後，已於發現事件當天就傳媒查詢盡快作出回應，並於稍後時間主動透過新聞稿及向全體員工發放電郵公布更多詳情。

局方會繼續全面配合警方調查事件，以及採取一切可行措施，務求將對病人的影響減至最低。