私隱專員公署發表對數碼港資料外泄事故的調查報告。公署指數碼港去年兩度被黑客入侵,後被勒索,認為事件涉及五大缺失,包括無法有效偵測黑客入侵、無為遠端存取資料啟用多重認證、對資訊系統的保安審計不足,亦不必要地保留個人資料。公署又指,數碼港於事故中外泄的逾1.3萬人的個人資料中,有四成屬求職者及已離職的僱員,並全數超過保留期限而未刪除,部分資料更由2016年保留至今。私隱專員鍾麗玲指數碼港違反個人資料保留的規定,已向數碼港送達執行通知,指示數碼港糾正。
根據公署調查所得,數碼港去年8月6日遭黑客利用具管理員權限的帳戶進入數碼港網站,8日後數碼港伺服器檔案遭勒索軟件攻擊及惡意加密,其後在同月17日接獲勒索信息,翌日亦再被黑客攻擊。公署引述數碼港指,事件中共涉13632人受影響,當中包括近8000名與僱傭有關人士,並涉及5292名求職者及已離職者的資料。公署亦發現,數碼港逾期保留該批求職者及已離職者的個人資料。事件中外泄的個人資料包括姓名、身分證號碼或副本、護照號碼及聯絡資料,以及部分人的銀行帳戶號碼、醫療報告等。
公署又引述數碼港委聘的網絡安全專家調查報告指,網絡攻擊的起因是由於黑客取得數碼港一個具管理員權限的帳戶憑證,並透過遠端桌面連接進入數碼港的網絡,數碼港的多個伺服器及網絡儲存裝置受被入侵,涉及13個Windows系統及兩台虛擬伺服器,黑客又利用權限,成功停止資訊系統在事發時配備的一款反惡意軟件的功能。報告又指,由2023年8月6日黑客進入數碼港的網絡起,直至黑客於8月14日作勒索數件攻擊期間,由於黑客使用具權限的帳戶活動,數碼港未能偵測黑客的入侵及相關惡意活動。公署質疑,作為一間使用具規模的資訊系統以儲存大量個人資料的機構,數碼港僅依賴一款反惡意軟件明顯不足夠及不成比例,而且數碼港也未有為遠端存取資料啟用多重認證功能,否則就可阻止黑客透過管理員帳戶遠端進入網絡。
公署又發現,數碼港每兩年為資訊系統作保安審計,評估數碼港所有資訊系統有否漏洞,事發前最近一次審計屬2021年尾,認為數碼港審計頻率不足,亦沒有規定在其中一個受事件影響的系統啟用前,作風險評估或獨立保安審計,形容屬明顯缺失。