大型金融機構被黑客入侵 千萬數據被盜

澳洲一間著名金融機構早前受到網絡攻擊，客戶的個人資料被盜，受影響的客戶由最初估計數千萬，至 330萬，牽涉的記錄更約1,400 萬條。

財務公司Latitude Financial Services日前受到網絡攻擊。 Source: Getty / Getty Images

要點：

• Latitude Financial 遭到大規模的個人資料外洩，澳洲和新西蘭數百萬名客戶受影響。
• 網絡安全部長說網絡攻擊是一個「日益嚴重的威脅」。
• 專家指，公司儲存不必要的個人資料會令客戶容易受黑客攻擊。

Latitude Financial 表示，3 月初一次黑客攻擊盜取了 790 萬個澳洲和新西蘭的駕駛執照號碼，數目遠高於最初估計。

Latitude Financial 是一間提供短期貸款、保險和信用卡服務的非銀行貸款機構表示，它們表示，在這次網絡攻擊中，有 610 萬個客戶紀錄被盜，包括姓名、地址、電話號碼和出生日期，而收集這些資料的日期「最早可追溯到 2005 年」。

專家表示，這次黑客攻擊突顯了澳洲個人資料私隱法中的一些漏洞，顯示現行法律對消費者個人資料的保障不足。

斯威本大學 (Swinburne University) 個人資料私隱講師芭妮特 (Belinda Barnet) 表示，類似的黑客攻擊可能再次發生，部分原因是對公司的懲罰過輕。

芭妮特博士說：「規管方面肯定可以做得更好，應該對公司施以更重的罰款，對於一家侵犯了數百萬人私隱的大公司來說，這只是微不足道。假如有強大的威懾力，公司就會有更大的動力去保障個人資料。」

「應該有監管。這樣，公司就有責任以最強而有力的方法去保障消費者的個人資料。保障個人資料並在黑客入侵後清理爛攤子的責任不在於客戶。」

Latitude Financial 的事件是繼過去 12 個月澳洲發生一連串針對大公司（包括 Optus 和 Medibank）的高調網絡攻擊的最新一宗。

去年9 月，黑客竊取了Optus電訊公司逾1200 萬名客戶的資料，包括姓名、出生日期、電話號碼、電郵、駕駛執照號碼、護照號碼或地址。

黑客在去年 10 月對 Medibank 進行大規模攻擊後，發布了逾四成人口的醫療紀錄和詳細私人資料，聯邦政府表示會「追捕這些人渣」並建立新的監察系統，動員過百人。

Latitude Financial 於 3 月 16 日披露，在數天前檢測到其系統受到一次「複雜的惡意網絡攻擊」，但當時認為只涉及數十萬而非數百萬個客戶紀錄。

該公司與 JB Hi-Fi、The Good Guys 和 Harvey Norman 等零售商均有合作協議。

該公司向澳洲證券交易所 (ASX) 透露，大約有 53,000 個護照號碼被竊，以及少於 100 名客戶的月度財務報表被盜。

該公司稱：「我們陸續致函所有個人資料被洩的現有客戶、舊客戶和申請人，概述資料被盜的詳情和我們的補救計劃。」

他們又表示，若客戶選擇更換身分證明文件，Latitude 會提供補償。

政府有甚麼回應？

網絡安全部長歐妮爾 (Clare O’Neil) 本周一（3月27日）表示，Latitude 黑客事件「令人深感擔憂」。

歐妮爾承認，網絡攻擊是「一種日益嚴重的威脅，並會在未來幾年成為我們生活中更加常見的一部分。」

她說：「聯邦政府在3 月 16 日召開了國家協調機制會議，召集了聯邦、州和領地的有關部門，以確保向 Latitude Financial 和所有個人資料被竊的客戶提供所需的支援。」

網絡安全部長歐妮爾 (Clare O’Neil) Source: AAP / MICK TSIKAS

歐妮爾表示，政府上月宣佈委任一名網絡安全協調員，並獲內政部轄下的國家網絡安全辦公室提供支援，「確保透過中央協調以履行政府的網絡安全責任。」

她又稱，聯邦政府正與各州和領地合作，以減輕執照資料被盜的影響。

個人資料安全嗎？

澳洲私隱基金會 （Australian Privacy Foundation）董事會成員薛甘圖 （Jodie Siganto）認為，沒有人知道自己的個人資料有多安全，這是最大問題。

薛甘圖博士說：「我們依靠機構和政府部門去確保個人資料安全，但對他們如何做到這一點所知甚少。」

「現時沒有公司的基礎級網絡安全系統受到規管或制訂有關措施。如果有措施推出，可以令人對澳洲的機構保障個人資料的做法放心。」

薛甘圖博士說，我們見到部分高調的黑客攻擊「不是很複雜，亦肯定會再發生」。

她說：「它們是由內部控制失誤造成的。」

「我不認為被黑客攻擊的公司在保障個人資料方面比許多其他公司差很多。」

律政部長載夫斯 （Mark Dreyfus）致力將私隱法現代化，並表示他正考慮賦予個人在資料被洩後提出訴訟的權利，這是現時澳洲法律並未就此作出涵蓋。

澳洲去年立法，大大提言對嚴重或重複洩露個人資料的罰款，由原來的 220 萬提高至 5000 萬元、通過濫用個人資料獲得的任何利益價值的三倍、或有關公司在相關期間的調整後營業額的30%（以較高金額為準）：。

數碼權利監察組織 Digital Rights Watch 的執行總監克拉克 （James Clark） 表示，私隱法需要為個人提供更強而有力的保障。

他說：「針對其他違規行為的其中一種最佳防禦措施，就是一開始就不要收集不必要的數據。」

「我們確實需要一項私隱法，首選是明確訂明將個人資料最小化和不收集這些信息。」

克拉克說：「人們應該嚴正地問Latitude為何保留所有這些個人資料。」

「一旦你確認了某人的身分，是否「需要」保留該紀錄的副本？為甚麼要保留超過十年？」

今日的【時事報道】中，盧婉霞及蔡苡雯會就有關情況作出深入探討。

瀏覽更多最新時事資訊，請登上 SBS 廣東話 Facebook 專頁、MeWe 專頁、Twitter 專頁，或訂閱 Telegram 頻道。

SBS 中文堅守《SBS 行為守則》及《SBS 編採指引》，以繁體中文及簡體中文提供公平、公正、準確的新聞報道及時事資訊。SBS 廣東話及 SBS 普通話均已為大眾服務超過 40 年。歡迎在每天早上 9 至 11 時透過 SBS Radio 1 收聽廣東話節目及在每天早上 7 至 9 時收聽普通話節目，或透過 SBS Audio App 手機應用程式收聽直播、節目重溫及其他語音內容。按此進一步了解 SBS 中文。