私隐署指快图美早知泄客资料漏洞却无修补 风险意识不足
2022-11-14 13:46 
随着数码化的蓬勃发展，大小企业都有可能受到网络攻击。快图美（远东）有限公司数据库在2021年10月底遭勒索软件攻击及恶意加密，事件影响逾54万名会员及近7.4万名曾在网上商店订购产品或接受服务的客户。私隐专员公署确认，快图美早于一年多前已知悉系统保安漏洞，但未有采取任何行动安装修补程式，以及拖延启用多重认证功能，反映其风险意识不足。
去年11月1日，公署收到快图美的资料外泄事故通报，表示网上商店的数据库于去年10月26日遭勒索软件攻击及恶意加密。涉及的资料包括客户及会员的姓名、性别、出身日子及月份、电话号码、电邮地址、联络地址及送货地址。
报告指，快图美于2018年购买防火墙，翌年启用SSL VPN。其后防火墙生产商曾于其网站发出保安建议，表示留意到有黑客披露其作业系统的漏洞，呼吁用家立即停用SSL VPN功能，直至更新作业系统及重设所有帐户密码，同时建议启用多重认证。
至去年10月26日早上，快图美的资讯科技部门职员发现网上商店及该数据库无法正常存取，其后发现除了该数据库外，部分位于办公室的伺服器和电脑同样遭勒索软件加密。
快图美向公署承认，2019年9月已知悉相关漏洞，并称曾与服务供应商透过电话讨论，考虑到已设置一系列的资讯保安措施，认为毋需即时安装修补程式，而因应疫情推行在家工作安排，员工会用VPN遥距存取系统。
公署认为，快图美没有采取所有切实可行的步骤以确保涉事的个人资料受保障而不受未获准许的或意外的查阅、处理、删除、丧失或使用所影响，因而违反《私隐条例》保障资料第4(1)原则有关个人资料保安的规定。
署理首席个人资料主任（合规及查询）郭正熙强调，网络世界瞬息万变，黑客攻击层出不穷，所有公司在处理系统资讯安全上不能抱有侥幸心态。
两间公司分别被公署发出执行通知，要求纠正及防止同类行为再发生。私隐专员锺丽玲指，若然不依从执行通知，将构成刑事罪行，最高可被罚款5万元及监禁2年。她承认现时条例阻吓力不足，正审视加大罚则，未来会向政府提交建议。她又称，除了在接获投诉后展开调查，公署亦会留意网上及传媒报道，主动出击。
记者 黎倩彤
《星岛头条》APP经已推出最新版本，请立即更新，浏览更精彩内容：https://bit.ly/3yLrgYZ
最新回应