證監會重罰六福證券（香港）210萬元 網絡保安現七大缺失致系統癱瘓近三週

證券及期貨事務監察委員會（證監會）日前公佈，對六福證券（香港）有限公司（六福證券）採取紀律行動，譴責該公司並處以罰款210萬元。是次處罰主因是六福證券在網絡保安監控方面存在嚴重且系統性的缺失，未能有效防範勒索軟件攻擊，導致其關鍵資訊科技系統一度癱瘓，恢復需時近三星期。 根據證監會的調查結果，六福證券於2022年9月19日遭受勒索軟件攻擊，對其核心資訊科技基礎設施造成廣泛幹擾。受影響的系統包括檔案伺服器、網域控制器、電郵伺服器、交易應用程式伺服器以及會計伺服器等。受事件影響，六福證券的客户在系統恢復期間，一度無法透過公司的流動交易應用程式或互聯網平台進行交易，只能透過客户主任發出交易指示，對客户的日常交易活動造成顯著不便。儘管六福證券其後分階段恢復其系統，但整個恢復過程耗時長達近三星期，直至2022年10月7日才全面完成，凸顯其應變能力的不足。 市場消息指，證監會是在六福證券主動報告其伺服器遭黑客利用遙距接達系統入侵的事故後，隨即展開深入調查。調查發現，六福證券的網絡保安政策及系統存在多項嚴重缺失，這些漏洞不僅使其容易遭受網絡攻擊，更大大延長了從事故中恢復所需的時間。 證監會詳列出七點主要缺失，當中包括：缺乏足夠的防火牆保護及網絡監控措施；作業系統及防毒軟件版本過時；對使用者接達及特權帳户的監控措施薄弱；密碼管理手法欠佳，例如將憑證儲存於未加密的檔案中；對遙距接達及外置裝置的監控措施不足；未有為員工提供定期的網絡保安意識培訓；以及數據備份及業務延續安排不完善等。 監管機構強調，鑑於上述調查結果，證監會斷定六福證券未有全面遵守適用於其受規管活動的網絡保安規定，構成失當行為。證監會重申，六福證券的系統性缺失，反映其未能符合多個監管框架下的基本網絡保安要求，亦是導致該公司無法有效抵禦是次事故，及其影響如此嚴重的主要原因，因此損害了該公司的客户利益及營運穩健性。證監會藉此警示業界，所有持牌法團必須時刻維持高水平的網絡安全防護，以保障客户資產及維持市場整體穩定。