私隱專員公署接獲港航、友和及百老匯電器資料外洩通報 涉逾1600市民 HKCERT籲警惕假冒客服騙案

個人資料私隱專員公署(下稱私隱專員公署)本月先後接獲三宗大型資料外洩事故通報，分別涉及香港航空、友和香港及百老匯電器。據悉，合共逾1,600名市民的個人資料受到影響。私隱專員公署已就這些事件展開調查，並截至目前接獲23宗相關投訴及20宗查詢。 香港網絡安全事故協調中心(HKCERT)為此提醒市民，即使騙徒能準確説出姓名、電話或交易細節，亦不代表其身份真實，務必提防各類詐騙陷阱，切勿急於付款、點擊不明連結或提供密碼及一次性密碼(OTP)。市民應透過官方網站、應用程式或服務熱線獨立核實真偽。 據瞭解，這三宗事故的已知情況如下：
1. **香港航空：** 涉及815名於今年9月29日至10月22日期間出發的乘客。受影響資料包括姓名、電話號碼、航班日期、航班編號及航線。
2. **友和香港：** 影響790名於今年9月29日至10月12日期間下單的客户。外洩資料涵蓋姓名、電話號碼、送貨地址、訂單編號及購買產品詳情。
3. **百老匯電器：** 私隱專員公署已接獲相關資料外洩事故通報，但現時未有公開受影響人數及資料種類的具體細節。 鑑於近期資料外洩事件頻生，騙徒趁機利用外洩的個人資料，發動更具針對性的詐騙。警方公佈的一宗個案顯示，一名退休人士因此損失高達120萬港元。此外，市場亦出現大量假冒友和及其他商户客服的騙案。騙徒通常掌握事主的購物資料後，訛稱包裹損壞或可安排退款，其後冒充公司或金融機構職員，誘騙事主登入虛假網站或將款項轉賬至指定户口。HKCERT強調，即使來電者能準確説出事主姓名、航班、訂單、送貨地址或購物紀錄，也不代表對方是相關機構的真正職員，市民應時刻保持警惕。 為此，HKCERT及私隱專員公署建議市民如懷疑個人資料被濫用或墮入詐騙，應立即採取以下行動以減低風險：
1. **通知相關機構：** 盡快聯絡相關銀行、航空公司或商户報告事件，並要求凍結帳户或阻止未經授權的交易。
2. **更改密碼：** 立即更改所有相關帳户的密碼，並啟用多重身份驗證（MFA）以加強保安。
3. **監察賬户及信貸紀錄：** 密切留意銀行、信用卡、電郵及其他帳户有否異常登入或交易活動；如發現可疑情況，應即時通知相關機構。
4. **檢查裝置安全：** 如曾點擊可疑連結、安裝不明程式或開啟螢幕共享，應立即中止連線並移除相關程式，同時使用保安軟件掃描裝置；有需要時，應尋求專業技術支援。
5. **報警處理：** 若懷疑已受騙，應立即向警方報案，並致電「防騙易服務熱線18222」尋求協助。
6. **聯絡私隱專員公署：** 如懷疑個人資料被濫用，可向私隱專員公署尋求協助及諮詢。 HKCERT同時提醒各機構，資料外洩不僅令客户面臨詐騙及身份盜用風險，亦可能導致機構業務中斷、蒙受財務損失、聲譽受損，甚至須承擔法律和監管責任。為加強保障系統及用户資料，HKCERT呼籲機構立即採取以下措施：
1. **保護互聯網邊緣設備：** 盤點所有對外系統、VPN、防火牆、路由器及遙距存取設備，並立即修補漏洞，停用不必要的服務及連接埠，避免將管理介面直接暴露於互聯網。
2. **加強身份及權限管理：** 為管理員、遙距存取及重要系統啟用多重身份驗證（MFA），並採納最小權限原則，定期撤銷閒置或離職員工帳户。
3. **分隔網絡及重要系統：** 將對外服務、內部系統、資料庫及備份環境有效分隔，限制系統之間不必要的連線，以減低攻擊者橫向移動的風險。
4. **保護個人資料：** 只收集及保留業務所需的資料，並按既定期限安全刪除，同時加密傳輸中及儲存中的敏感資料。
5. **持續監察可疑活動：** 集中保存及分析登入、系統、網絡和資料存取紀錄，留意異常登入、大量資料下載、權限變更及可疑對外傳輸。