Canvas系統遭入侵 母公司與黑客達成協議 方保僑批若付贖金如同「飲鴆止渴」

香港文匯報訊（記者 蕭景源）網上教育平台Canvas遭黑客組織ShinyHunters攻擊，全球約2.75億用戶資料外洩，影響遍及全球逾9,000間機構，總量達3.65TB。Canvas母公司Instructure早前發聲明，表示已與黑客達成協議，對方已向公司歸還所有數據，並收到銷毀數據的數位憑證，但未有提及是否有交付贖金。

香港資訊科技商會榮譽會長方保僑表示，從營運現實來看，公司停擺每小時都是金錢與聲譽的損失，絕對可以理解，但支付贖金往往是飲鴆止渴。他指出，現實中，支付贖金既不保證能拿回完整數據，更無法確保黑客沒留後門；一旦開了先例，公司會被標籤為「優質客戶」，招致更頻繁的攻擊。面對系統癱瘓，最實際的做法是將該筆「贖金」轉化為「搶救資金」，即時聘請專業團隊進行系統重建與數據清洗。建議企業應該將資源放在加強網絡韌性，以專業的應變方案向客戶展示公司有能力保護數據，這才是真正止蝕並保護長遠聲譽的做法。

就Canvas系統遭入侵事件，香港警方截至昨日（12日）共接獲兩宗求助個案。一宗由本地教育機構主動通報，該機構因本身使用Canvas，從新聞得悉平台遭入侵後主動報案，並未發現有系統數據外洩問題。另一宗為本地市民指有騙徒冒認Canvas平台技術支援人員 ，試圖誘騙其透露個人資料及進行匯款；該市民識破騙局後，主動向警方提供相關情報。

警方提醒使用第三方平台服務的機構，應加強第三方風險管理，包括定期檢視權限設定 ，嚴格限制第三方平台可存取的資料範圍；制定事故應變及數據備份方案，以確保業務持續運作；同時，應加強員工的網絡安全意識，尤其要警惕數據外洩後可能衍生的針對性釣魚攻擊，並建立內部通報機制，以便員工在發現可疑情況時能即時上報。

此外，警方呼籲市民提高警覺，留意騙徒可能冒認第三方平台員工發動釣魚攻擊。防範釣魚騙案應遵循「一停、二諗、三核實」的原則，對任何來歷不明的訊息保持警覺，切勿隨意點擊連結、下載附件或輸入個人資料。凡涉及金錢或敏感資訊的要求，務必透過官方渠道核實對方身份。