銀行學會前年泄11萬人資料 公署指依賴網安供應商致違規

銀行學會前年泄11萬人資料公署指依賴網安供應商致違規

[2023.02.10] 發表

【明報專訊】私隱專員公署稱，去年1月接獲香港銀行學會的資料外泄事故通報，稱學會6台載有個人資料的伺服器遭勒索軟件攻擊及惡意加密，涉及逾1.3萬名會員和約10萬名非會員個人資料。公署經調查後認為學會違反《私隱條例》相關規定，要求學會兩個月內就落實執行通知提交報告。香港銀行學會稱，事發後已及時通報和配合調查，盡可能減低事件影響，事發至今無為任何受影響者帶來直接經濟損失。

學會：盡減影響無人經濟損失

公署稱，學會在2018年中安裝和啟用一道防火牆，翌年5月防火牆生產商在網站發出保安建議，稱留意到有黑客披露其作業系統漏洞，攻擊者可通過漏洞繞過保安限制，取得保密插口層虛擬私有網絡(簡稱SSL VPN)帳戶名稱和密碼，並可於目標系統執行任何程式，呼籲用家停用相關功能，直至更新作業系統和重設所有帳戶密碼。惟前年1月，學會未曾修補相關漏洞下，因應新冠疫情安排在家工作，啟用相關功能讓有需要員工遙距登入系統，前年12月30日發現6台伺服器無法正常存取，而學會電腦及備份數據同樣遭勒索軟件加密。除姓名、聯絡資料、僱主名稱及職位等資料外，部分人身分證號碼、信用卡號碼、出生日期、專業認證詳情及考試結果亦受影響。

防火牆商曾稱有漏洞

學會指供應商負責保養

公署透露，學會稱防火牆保養由供應商負責，事前不知悉漏洞；承認事前未曾對所有連接到互聯網的伺服器、應用程式或端點裝置掃描漏洞，而服務供應商未有建議他們掃描漏洞。署理首席個人資料主任(合規及查詢)郭正熙稱，學會對服務提供者採取相對寬鬆態度，較依賴服務提供者維護整個系統導致問題出現，認為學會違反《私隱條例》保障資料第4(1)原則有關個人資料保安規定，要求學會檢視系統保安、聘請獨立資料保安專家定期檢視系統保安，以及修訂系統保安政策，定期掃描網絡設備漏洞等。

香港銀行學會昨回覆查詢稱，深切明白報告指有需要改善之處，已採取多項改善措施修補保安漏洞，並制訂清晰及嚴格的部門指引小心處理個人資料。

去年有約110萬人受資料外泄事故影響，較前年約60萬人增逾八成，其中約三成屬黑客入侵事故。公署去年8月發出《資訊及通訊科技的資料保安措施指引》，昨起出版實體單張，協助中小企等資料使用者加強資料保安系統減低風險。