新加坡4所學校使用的校園訂餐應用Tappee遭遇網絡入侵，黑客利用系統漏洞非法獲取了部分數據，導致學生姓名、助學金狀況等多項敏感隱私外泄。
助學金記錄與乘車卡號失竊
食品與地面服務提供商新翔集團（SATS）於11月10日發出通報，旗下在2023年1月上線的校園訂餐應用Tappee遭外部未授權人員惡意訪問。該平台目前在新加坡4所學校推行，出於保護未成年人和家長的考量，SATS並未點名受影響的具體學校，也尚未公開波及的總人數。
初步調查結果顯示，外泄資料涵蓋學生姓名、電郵地址、助學金受助狀態（financial assistance status）、學生優惠乘車卡號，以及部分家長和監護人的聯繫郵箱。少數記錄中甚至還包含了學生的身高、體重、過敏史以及卡路里攝入數據等健康隱私。
Unauthorised malicious access to this application was through a vulnerability in the Tappee platform which was detected by SATS』 cybersecurity monitoring capabilities. 平台緊急下線，飯照樣能吃
在檢測到漏洞後，SATS已要求第三方軟體開發商Serial Multivision立即切斷Tappee系統的對外訪問。截至11月10日傍晚6點15分，該網站依然處於無法打開的狀態。SATS對此澄清，系統本身沒有收集銀行卡、信用卡信息或身份證件照片，因此金融帳戶並未外泄，SATS自身的核心IT網絡也未受牽連。
雖然訂餐軟體暫時停用，但學生的在校用餐沒有受到干擾。各相關學校已轉為線下人工接管訂餐，每日配餐流程如常。SATS對此公開致歉，並表示正逐一聯絡受牽連的學校和家庭，協助做好善後應對。
本地機構頻遭攻擊，家長警惕釣魚
新加坡個人資料保護委員會（PDPC）確認已接到這起事故的報備，目前正展開調查。近段時間本地網絡安全事件屢屢發生，從電信運營商M1、在線醫療平台Doctor Anywhere，到新加坡報業控股（SPH Media），多家大型機構均發生過不同程度的數據外泄漏洞。
這起事件最值得警惕的風險在於隱私的高度定製化。不法分子掌握了孩子的真實姓名、在讀學校甚至經濟援助情況後，極可能偽裝成校方工作人員或教育部門精準施騙。家中有在讀學生的家長，近期若收到任何聲稱處理學費、審核助學金或更新乘車卡的簡訊和郵件，務必先向學校班主任核實，切勿隨意點擊其中的網址連結。
📌 要點總結
✦ Tappee訂餐軟體出現漏洞，新加坡4所學校學生隱私遭未授權訪問
✦ 泄露內容包含學生姓名、助學金狀態、優惠乘車卡號及部分家長郵箱
✦ PDPC已介入調查，涉事學校改由線下訂餐，日常供餐未受影響
收到涉及學校交費或核驗信息的郵件，先向校方求證，切勿盲目點開連結
