證監會重罰六福證券(香港)210萬元 斥網絡保安監控不足致系統癱瘓

證券及期貨事務監察委員會（證監會）近期對六福證券(香港)有限公司（下稱「六福證券」）採取紀律行動，譴責其未能實施足夠及有效的網絡保安監控措施，並處以罰款210萬港元。證監會指出，該公司因網絡保安缺失，未能有效抵禦勒索軟件攻擊，導致其系統恢復需時約三星期，嚴重影響客户服務及營運穩健性。 是次事件源於2022年9月19日發生的一宗勒索軟件攻擊。該次攻擊對六福證券的關鍵資訊科技基礎設施造成廣泛幹擾，波及檔案伺服器、網域控制器、電郵伺服器、交易應用程式伺服器及會計伺服器等多個核心系統。市場消息指，在隨後的恢復期間，六福證券的客户曾無法透過流動交易應用程式或互聯網平台進行交易，只能透過其客户主任發出交易指示，直至系統於同年10月7日才全面恢復正常。 證監會是在六福證券主動報告一名黑客利用其遙距接達系統入侵伺服器事故後，隨即展開調查。調查結果揭示六福證券的網絡保安政策及系統存在多項顯著缺失，導致該公司較易受到網絡攻擊，並拖延了從事故中恢復的時間。這些缺失包括缺乏防火牆保護及足夠的網絡監控；作業系統及防毒軟件過時；使用者接達及特權帳户的監控措施薄弱；以及密碼管理手法欠佳，例如將憑證儲存於未加密的檔案中。此外，對遙距接達及外置裝置的監控措施不足，加上職員缺乏定期的網絡保安意識培訓，以及數據備份與業務延續安排不完善，亦是導致事件擴大的主因。 鑑於上述調查發現，證監會斷定六福證券在處理受規管活動方面，未能全面遵守相關的網絡保安規定，構成失當行為。證監會強調，該公司的系統性缺失，反映其未符合多個框架所訂立的基本網絡保安要求，不僅使公司難以抵禦是次攻擊，更令事故影響異常嚴重，最終損害了客户利益及公司的營運韌性。隨著金融服務日益數碼化，證券行的網絡安全防護能力，對於保障客户資產及維持市場穩定性至關重要。