新加坡4所学校使用的校园订餐应用Tappee遭遇网络入侵，黑客利用系统漏洞非法获取了部分数据，导致学生姓名、助学金状况等多项敏感隐私外泄。
助学金记录与乘车卡号失窃
食品与地面服务提供商新翔集团（SATS）于11月10日发出通报，旗下在2023年1月上线的校园订餐应用Tappee遭外部未授权人员恶意访问。该平台目前在新加坡4所学校推行，出于保护未成年人和家长的考量，SATS并未点名受影响的具体学校，也尚未公开波及的总人数。
初步调查结果显示，外泄资料涵盖学生姓名、电邮地址、助学金受助状态（financial assistance status）、学生优惠乘车卡号，以及部分家长和监护人的联系邮箱。少数记录中甚至还包含了学生的身高、体重、过敏史以及卡路里摄入数据等健康隐私。
Unauthorised malicious access to this application was through a vulnerability in the Tappee platform which was detected by SATS’ cybersecurity monitoring capabilities. 平台紧急下线，饭照样能吃
在检测到漏洞后，SATS已要求第三方软件开发商Serial Multivision立即切断Tappee系统的对外访问。截至11月10日傍晚6点15分，该网站依然处于无法打开的状态。SATS对此澄清，系统本身没有收集银行卡、信用卡信息或身份证件照片，因此金融账户并未外泄，SATS自身的核心IT网络也未受牵连。
虽然订餐软件暂时停用，但学生的在校用餐没有受到干扰。各相关学校已转为线下人工接管订餐，每日配餐流程如常。SATS对此公开致歉，并表示正逐一联络受牵连的学校和家庭，协助做好善后应对。
本地机构频遭攻击，家长警惕钓鱼
新加坡个人资料保护委员会（PDPC）确认已接到这起事故的报备，目前正展开调查。近段时间本地网络安全事件屡屡发生，从电信运营商M1、在线医疗平台Doctor Anywhere，到新加坡报业控股（SPH Media），多家大型机构均发生过不同程度的数据外泄漏洞。
这起事件最值得警惕的风险在于隐私的高度定制化。不法分子掌握了孩子的真实姓名、在读学校甚至经济援助情况后，极可能伪装成校方工作人员或教育部门精准施骗。家中有在读学生的家长，近期若收到任何声称处理学费、审核助学金或更新乘车卡的短信和邮件，务必先向学校班主任核实，切勿随意点击其中的网址链接。
📌 要点总结
✦ Tappee订餐软件出现漏洞，新加坡4所学校学生隐私遭未授权访问
✦ 泄露内容包含学生姓名、助学金状态、优惠乘车卡号及部分家长邮箱
✦ PDPC已介入调查，涉事学校改由线下订餐，日常供餐未受影响
收到涉及学校交费或核验信息的邮件，先向校方求证，切勿盲目点开链接
