新加坡個人理財網站MoneySmart近日證實，部分客戶資料遭駭客竊取；電子產品及家具零售商Courts則因2022年網絡攻擊事件，被罰款17萬8000新元。（圖：示意圖）
近期國際多家企業及超市系統接連遭駭客攻擊，部分事件涉及客戶資料外泄，再次引起外界對網絡安全的關注。新加坡個人理財網站MoneySmart也證實，上周遭駭客入侵內部電腦系統，部分新加坡及香港客戶的個人資料被複製，可能涉及身份證號碼、收入範圍及金融產品信息等。
與此同時，電子產品及家具零售商Courts因2022年遭勒索軟體攻擊，導致近95萬名客戶及員工的個人資料受到影響，近日被新加坡個人資料保護委員會（PDPC）罰款17萬8000新元。這也是Courts自2019年以來，第三次因違反個人資料保護義務受到處罰。
雖然MoneySmart和Courts事件發生時間不同，性質也有所區別，但都反映出企業在儲存和管理大量客戶資料時面臨的網絡安全挑戰。隨著消費者越來越依賴數碼平台購物、申請信用卡、貸款及保險，如何妥善保護客戶的個人信息，已成為企業不能忽視的責任。
MoneySmart客戶資料遭複製
據《海峽時報》報道，MoneySmart於11月3日向受影響用戶發送電郵，通知他們公司在10月29日發現未經授權的第三方入侵部分內部資訊科技系統，而這些系統儲存了消費者通過平台比較或申請金融產品時提供的個人資料。
MoneySmart提供信用卡、個人貸款及旅遊保險等金融產品的比較與申請服務，因此受影響的信息不僅涉及客戶身份，也可能包括收入狀況及金融產品記錄。公司證實，部分新加坡及香港客戶資料已遭複製，可能涉及姓名、出生日期、國籍、身份證號碼、電郵地址、手機號碼及收件地址。
此外，客戶的收入範圍、目前所持有的金融產品，以及車輛資料和汽車保險查詢或保單等等信息，也可能受到影響。由於這些資料涉及個人身份與財務狀況，一旦落入不法分子手中，可能增加身份冒用及針對性詐騙的風險。
MoneySmart尚未公布受影響客戶人數，但表示正直接聯繫有關用戶，說明哪些資料受到影響，並提供相應的安全建議。
公司創辦人兼執行長維諾·奈爾（Vinod Nair）表示，發現事件後已立即阻止未經授權的訪問，並採取措施保護系統，同時聘請獨立網絡安全及數碼鑑證專家調查事故原因，以防止類似事件再次發生。
MoneySmart已向新加坡個人資料保護委員會、金融管理局（MAS），以及香港個人資料私隱專員公署和保險業監管局通報事件。個人資料保護委員會證實正在調查，公司則強調，平台業務目前照常運作。
維諾·奈爾也向受影響客戶道歉，表示用戶信任MoneySmart處理與個人財務生活有關的信息，公司對此負有重大責任，並將全面檢討事件原因及改善現有安全措施。
Courts備用伺服器成漏洞
MoneySmart事件仍在調查之際，Courts則因數年前發生的網絡攻擊收到罰單，凸顯企業即使沒有證據顯示客戶資料被公開外泄，仍可能因網絡安全管理不足而承擔法律責任。
根據個人資料保護委員會8月11日作出、10月26日公布的裁決，Courts於2022年9月遭勒索軟體攻擊，涉及94萬6972人的個人資料，包括94萬1513名客戶，以及5459名現任、前任和潛在員工。
客戶受影響的資料包括姓名、身份證號碼、住址、電話號碼，部分還涉及信用卡號碼最後四位數字；員工資料則包括銀行帳戶及信用狀況等較敏感的財務信息。
調查發現，駭客是於2022年9月21日前後，通過Courts用於系統故障後恢復業務的備用伺服器進入公司網絡，其中兩台伺服器可以通過網際網路訪問，成為攻擊者尋找系統漏洞的入口。
駭客多次嘗試進入系統，並通過尚未查明的方式取得系統管理員的登錄憑證，隨後利用備用伺服器與其他內部系統之間的連接，進一步擴大攻擊範圍。攻擊者最終在26台伺服器安裝勒索軟體，導致其中20台伺服器的資料全部或部分遭加密。
Courts於9月26日前後發現惡意軟體，並在10月1日收到勒索要求，對方要求支付贖金，以換取恢復加密文件的密碼，但公司沒有回應。
事件發生後，Courts隔離受影響伺服器，利用未受感染的備份恢復系統，並安裝安全更新及加強訪問權限管理。
不過，調查沒有發現受影響資料被轉移出Courts系統的證據，公司隨後連續12個月監測網際網路及暗網，也沒有發現相關資料遭公開披露的跡象。這與MoneySmart已確認部分客戶資料遭複製的情況有所不同。
個人資料保護委員會認為，Courts雖然採取了事後補救措施，但在攻擊發生前未能落實基本網絡安全管理，尤其沒有定期檢查備用伺服器是否存在漏洞。
Courts原本認為，這些伺服器並非日常業務使用的關鍵系統，因此沒有將它們納入定期安全漏洞掃描範圍，但監管機構不接受這一解釋，因為備用伺服器與儲存大量個人資料的其他系統相連，一旦遭入侵，便可能成為駭客進入內部網絡的通道。
此外，兩台可以從網際網路訪問的備用伺服器，自2022年7月6日起便沒有安裝最新安全更新，其他部分伺服器仍使用微軟早在2020年1月停止支持的Windows Server 2008作業系統，進一步增加遭攻擊的風險。
這已是Courts自2019年以來第三次因違反個人資料保護義務受到處罰。2019年，公司因網站漏洞導致客戶電話號碼及住址可能被他人查閱，被罰款1萬5000新元；2020年又因會員電郵連結出現問題，使收件人能夠在未經身份驗證的情況下訪問其他會員帳戶，被罰款9000新元，涉及7萬6844名客戶。
個人資料保護委員會指出，Courts在此前兩次受罰後，仍未落實安全審查及系統更新管理等基本措施，因此有必要提高罰款，以加強阻嚇作用。Courts接受裁決，並向受影響客戶及員工道歉，表示已加強網絡安全措施，聘請專業機構調查事件及檢討受影響資料。
公司已通知財務資料遭未經授權訪問的員工，但評估客戶受影響資料不太可能造成重大損害，因此沒有向客戶逐一發出通知。
數碼服務普及 企業不能忽視資料保護
兩起事件雖然性質不同，卻涉及新加坡消費者日常生活中經常使用的服務，無論是購買家具電器，還是通過金融平台比較信用卡、申請貸款或保險，消費者都可能需要提供姓名、身份證號碼、聯繫方式及其他個人資料。
這些信息單獨看來或許只是一般客戶記錄，但若被不法分子取得並結合使用，便可能增加身份冒用、詐騙及網絡釣魚的風險，尤其涉及收入狀況和金融產品資料時，更可能被用於設計針對特定用戶的詐騙手法。
MoneySmart事件目前仍在調查，尚不能確定資料外泄的完整範圍，以及是否會造成進一步損害；Courts事件則顯示，即使沒有證據證明資料已被轉移或公開，企業仍可能因為未採取合理的安全防護措施而受到處罰。
對企業而言，資料保護不只是防止駭客進入主要業務系統，也包括定期檢查備用伺服器、及時更新軟體、限制系統訪問權限，以及確認不同系統之間的連接不會擴大攻擊範圍。
對消費者而言，收到企業的資料安全通知後，應留意銀行及其他帳戶是否出現異常活動，對要求提供密碼、一次性密碼或金融資料的可疑電郵和簡訊保持警惕，並通過企業官方渠道核實通知內容。
隨著購物、金融服務和日常交易越來越依賴數碼平台，企業掌握的個人資料也持續增加。MoneySmart最新發生的客戶資料遭竊事件，以及Courts在兩度受罰後仍被發現存在基本安全管理漏洞，反映資料保護不能只依賴事後補救，而必須成為企業日常營運和風險管理的一部分。
