閣室位於烏節路的門店。（圖：iStock）
本地電器及家具零售商閣室（COURTS）因網絡安全措施不足，結果遭黑客入侵和加密，造成近百萬顧客和員工個人資料受影響。
閣室最終遭個人資料保護委員會罰款17萬8000元，這也是閣室第三次違反《個人資料保護法》。
調查發現，閣室沒定期進行全面的安全漏洞掃描，也未及時安裝安全更新。部分伺服器仍使用微軟早在2020年停止提供安全支援的作業系統。
本地電器及家具零售商閣室（COURTS）因網絡安全措施不足，包括在伺服器使用已停止獲得安全更新的老舊作業系統，結果遭黑客入侵和加密，造成近百萬顧客和員工個人資料受影響。
閣室最終遭個人資料保護委員會罰款17萬8000元，這也是閣室第三次違反《個人資料保護法》。
根據委員會公布的裁決，黑客是在2022年9月通過暴力破解密碼和掃描網絡埠等方式，入侵閣室的伺服器，並在取得系統管理員的登錄憑證後，進一步侵入其他伺服器。
收到勒索電郵但未作回應
黑客隨後在26台伺服器植入勒索軟體，其中20台伺服器的數據被全部或部分加密。閣室過後收到黑客勒索電郵要求贖金，但沒有作出回應。
事件最初涉及約140萬組個人資料。經過核實及剔除重複記錄後，當局確認共有94萬6972人受影響，包括94萬1513名顧客及5459名現任、前任和潛在員工。
受影響的顧客資料包括姓名、身份證號碼、地址、電話號碼及部分顧客信用卡號碼的最後四位數字。
員工資料則包括身份證或護照號碼、就業資料、信用狀況及銀行帳戶資料等。
部分伺服器仍用已淘汰作業系統
調查發現，閣室沒定期進行全面的安全漏洞掃描，也未及時安裝安全更新。部分伺服器仍使用微軟早在2020年停止提供安全支援的作業系統。
委員會原本擬罰款28萬元，但考慮公司提交的進一步資料，以及部分受影響伺服器中的勒索軟體並未啟動加密功能後，將罰款調低至17萬8000元。
調查顯示，沒有證據顯示個人資料遭外傳或公開披露。
閣室表示接受裁決，並對事件造成的不便致歉。公司稱已加強網絡安全措施，並聘請專家調查事件及監測資料是否外泄。
閣室也說，受影響人士可電郵[email protected]尋求協助。
