購物翌日即遭騙！騙徒精準掌握姓名地址訂單　3公司涉洩逾1600人個資

香港文匯報訊（記者 文森）近期不少網民接獲自稱香港航空、友和及百老滙客服的來電，訛稱航班取消可安排賠償，或包裹損壞可安排退款，並能說出事主個人資料。有市民表示，於友和門市購物後翌日接獲詐騙電話，騙徒掌握的資料非常精準，能準確說出顧客姓名、送貨地址及購買物品種類，更以「貨品損壞」、「物件遺失」等理由聲稱可提供賠償，誘使事主核對個人資料及提供銀行戶口資料。私隱專員公署表示，已接獲3間公司的資料外洩事故通報，涉及超過1,600名市民的個人資料。署方已根據既定機制展開調查。有科技資訊專家懷疑，有可能是3間公司共用的第三方客戶服務、短訊或物流通知平台出現漏洞，屬典型的供應鏈攻擊。

私隱專員公署昨日公布，香港航空的資料外洩事故，涉及815名於上月29日至本月22日期間出發、其後接獲懷疑詐騙來電的乘客，受影響的個人資料包括姓名、電話號碼、航班日期、航班編號及航線；友和香港涉及790名曾於上月29日至本月12日期間下訂單、其後接獲懷疑詐騙來電的客戶，資料包括姓名、電話號碼、送貨地址、訂單編號及購買產品詳情。前日，公署再接獲百老滙電器的資料外洩事故通報。至今，公署就3宗資料外洩事故共接獲23宗投訴和20宗查詢。

香港航空百老滙友和均中招

有市民向傳媒表示，自己早前購買了香港航空飛往日本沖繩的機票，航班因為颱風而延誤，剛完成網上辦理登機，一小時後，她就收到一個2字開首電話，對方自稱是港航職員，聲稱因為航班延誤，可以安排全額退款，「他很清楚說出我們的航班資訊，又知道我們航班編號，又知道我們飛往沖繩，又知道延誤了，令我們有少許降低警戒心……他說要提供付款資訊或信用卡號碼，到這個位置，我便覺得很奇怪，退款為何要我提供信用卡號碼？我便掛斷電話了。」

有市民在網上發文指，自己早前於友和門市購買風筒後，翌日中午即收到自稱「友和物流部」的來電。騙徒在電話中聲稱送貨途中「壓扁個插頭」，公司需要安排賠償，要求事主核對資料及提供退款賬戶。然而，事主是在門市即場購買現貨，根本無須物流送貨，因而即時識破騙局。事主認為，若自己真的選擇送貨並等待收件，或會以為貨品出事，會一步步交出個人資料甚至銀行資料。事主亦認為，騙徒竟能即日掌握他的購物紀錄，形容事件令人細思極恐。

稱氣炸鍋退款 事主求證揭破

有市民則發文稱，在百老滙購買氣炸鍋並安排送貨，送貨員提早於翌日早上9時30分將貨品送達。不過，收貨一小時後，事主丈夫接獲一名帶內地口音女子的來電，自稱為百老滙職員，指他們購買的氣炸鍋存在問題，需要回收，要求事主核實個人資料以安排回收及退款。事主丈夫認為事有可疑，未有理會，並致電百老滙求證，獲告知並無回收一事。

百老滙發聲明表示，客戶聯絡和訂單資料不包括完整信用卡資料和密碼，官網和門市交易系統運作正常，並一直設有嚴格的安全加密保護。

香港航空表示，只會透過香港與內地的官方電話號碼聯絡客戶，已就事件報警，呼籲受影響人士向警方舉報。

友和表示，絕不會向客戶索取完整信用卡資料和手機驗證碼，亦不允許員工透過非官方渠道或個人賬戶聯絡顧客，更不會在下單後數天內主動提供「包裹破損賠償」。

【專家之言】議員：產品供應商有責任定期更新系統

是次事件，有可能是有關公司共用的第三方系統被黑客入侵。立法會科技創新界議員邱達根表示，現在大部分企業數字化，不少零售、電商企業會選擇使用第三方系統協助營運，然而系統用得多，被黑客攻擊的風險也會上升。黑客取得資料後，會冒充企業發短訊欺騙客戶。他指出企業發現數據外洩事件，應該立即通知所有客戶，個人資料私隱專員公署也要同時通知同業有這類犯罪行為，提醒保護好數據。

他表示，市面上通用的產品，例如外掛管理系統、電子單據等，要經過政府認可的第三方機構評審，可以提升黑客攻擊的難度，產品供應商也有責任和義務經常更新系統。

邱達根提醒，無論是購物、健身等，難免要提供個人資料，市民要提高警覺，盡量不要隨意提供敏感資訊，例如身份證影印本、銀行賬號和密碼。各大商戶亦需要提醒客戶，在收到可疑訊息時要小心，以及向客戶說明正確的聯絡渠道。

專家：AI助找高焦慮客戶詐騙

香港資訊科技商會榮譽會長方保僑在接受香港文匯報訪問時表示，今次事件涉及3間不同行業的公司，手法均為假冒客服，模式高度一致，反映外洩源頭很大可能並非3間公司各自被入侵，而是共用的第三方客戶服務、短訊或物流通知平台出現漏洞，而AI（人工智能）令這類外洩的危害大幅放大。黑客在取得資料後，可利用AI快速篩選出即將出發或剛剛下單的高焦慮客戶，並自動生成專業的退款對話及幾可亂真的銀行驗證網站，令每個詐騙電話都極具個人化及說服力，受害人短時間內難以分辨，因而造成更大損失。

他坦言，不少企業為了方便，會將整個客戶資料庫開放給第三方的客服或短訊供應商，一旦其中一個環節出問題，資料就會全部外洩。因此，企業應該收緊權限，只讓AI在處理單一投訴時看到必須的資料，且所有查閱紀錄都要留底，以便追查。企業亦應該「以AI應對AI」，例如透過系統監察有否異常地大量下載客戶資料，並在出現詐騙時主動向客戶發出提示，而市民應該避免在所有購物平台長期儲存信用卡資料。

智能眼鏡可侵私隱 指引助公眾理解界線

隨着人工智能（AI）及穿戴式科技迅速發展，智能眼鏡應運而生。智能眼鏡雖能為用戶帶來便利，可用於拍照、錄影、聽音樂及提供無障礙輔助等，但從保障及尊重私隱的角度而言，智能眼鏡可在他人難以察覺的情況下拍照、錄影或錄音，因而對個人資料私隱構成較高風險。個人資料私隱專員公署昨日發布《智能眼鏡：保障個人資料私隱貼士》指引，以協助公眾了解不當使用智能眼鏡可能引致的個人資料私隱風險，並鼓勵用戶在使用智能眼鏡時採取良好行事方式，以保障個人資料私隱。

指引就智能眼鏡用戶如何保障及尊重個人資料私隱提供貼士，包括使用前仔細閱讀產品及服務供應商的私隱政策，了解產品將如何使用及保留資料多久，以及會否與第三方分享；檢視私隱設定，盡量限制將所收集資料與第三方服務供應商分享；避免在公眾有合理期望享有私隱的地方，例如醫院、診所及更衣室使用智能眼鏡或啟動攝錄功能；切勿以智能眼鏡作出違法行為，包括非法拍攝私密影像及在受限制地點攝錄；拍攝或錄影目標人士前先通知對方；只收集擬使用目的所需的個人資料，避免過度或持續攝錄，並在無需要時關閉攝錄功能。

偷拍不易察覺 增過度收集風險

個人資料私隱專員鍾麗玲表示，智能眼鏡可在他人不易察覺的情況下拍照、錄影或錄音，或會增加過度收集或以隱蔽方式收集個人資料的風險。此外，智能眼鏡所收集的照片、影像、聲音及其他資料，更可能被AI系統分析及處理，從而帶來額外的私隱風險。用戶在使用智能眼鏡時，如涉及收集和使用個人資料，應留意並遵從《個人資料（私隱）條例》下的相關規定，並時刻以尊重私隱的態度使用有關裝置。