【明報專訊】數碼港去年發生資料外泄事故,個人資料私隱專員公署昨日發表調查報告,指事故有13,632人受影響,近四成屬個人資料被保留超過應有期限,惟數碼港未能解釋。公署批評數碼港有5項缺失,包括未為遠端存取資料啟用多重認證功能,裁定數碼港違反《私隱條例》資料保安及保留規定,並向數碼港發出執行通知,要求兩個月內糾正違反事項。香港資訊科技商會榮譽會長方保僑稱,網絡安全與帳戶保障同樣重要,若缺乏多重認證功能等保障,黑客便能掌握管理員帳戶,繼而關閉反惡意軟件及竊取資料,導致「火燒連環船」。
數碼港:小組加強防黑客 屆期資料已刪
數碼港早前公布人事變動,今日起由鄭松岩出任行政總裁,接替約滿離任的任景信。數碼港昨回覆稱,事故後已成立專責小組,包括提升防範黑客攻擊能力等,另會與私隱公署跟進後續工作,按時完成執行通知。數碼港表示已刪除所有已屆一年保留期限的求職者個人資料,以及已屆7年保留期限的離職僱員個人資料;各部門會定時檢視管有的資料,確保按保留政策適時刪除。
私隱署發執行通知 限兩月糾正
私隱專員公署昨表示,去年8月黑客透過「暴力攻擊」取得具管理權限的帳戶進入數碼港網絡,其後停止系統內唯一用作偵測異常活動的反惡意軟件,並兩度對伺服器檔案作勒索軟件攻擊及惡意加密,而第一次攻擊後,數碼港曾更改所有帳戶密碼,但未阻第二次攻擊。私隱專員鍾麗玲解釋,「暴力攻擊」是指黑客利用電腦程式生成密碼撞破帳戶,而最有效的防禦是啟用多重認證功能,即以第二重密碼防止入侵,惟數碼港未為遠端存取資料啟用相關功能,導致黑客可放置勒索軟件並竊取系統中的個人資料。
1.3萬人受影響 專員:刪逾期資料可大減
在逾1.3萬受影響者中,有8000人與僱傭有關。公署引述調查期間,數碼港提到按保留資料政策會保留求職者資料一年,而僱員資料只會在受僱期間保留;惟數碼港無根據政策,在保留期屆滿後刪除相關資料,涉5292名求職者及離職僱員,部分資料更自2016年一直保留。鍾相信,若數碼港當初根據政策刪除已到保留期限的資料,受影響人數會大減。她說目前共接獲65宗查詢及33宗投訴。
公署引述數碼港委聘的網絡安全專家調查報告,指多個伺服器及網絡儲存裝置被入侵,涉及13個Windows系統及兩台虛擬伺服器。公署調查顯示,數碼港事前無規定對其中一個受事件影響的系統,在啟用前做風險評估或獨立保安審計,屬明顯缺失。
專家:採逾一款反惡意軟件 需衡量系統速度
方保僑認為,一般機構均會對具權限的管理員帳戶採取保安措施,舉例若嘗試登入達一定次數,系統會阻止短期再次登入,並以應用程式等警告用戶,避免黑客短時期內「暴力攻擊」;另舉例有機構會採用限時動態密碼,以保障伺服器安全。
至於公署批評數碼港僅依賴一款反惡意軟件偵測異常活動屬「明顯不足及不成比例」,方保僑稱坊間不少機構均使用多於一款反惡意軟件,惟採用多於一款時,或會拖慢系統速度,故採用反惡意軟件數量視乎如何衡量兩者。
警方回覆稱,去年8月接獲數碼港報案,案件列作「有犯罪或不誠實意圖而取用電腦」,由網罪科跟進,暫無人被捕。
立法會資訊科技及廣播事務委員會主席葛珮帆稱,事故涉及大量個人和企業數據及敏感資料被盜,相關公司亦被勒索,情况不能接受,建議公私營機構均應增強網絡安全意識。
■明報報料熱線﹕inews@mingpao.com / 9181 4676