香港寬頻認兩疏忽 無加密未離線 提三招補救 3個月內清除舊客資料
原文刊於信報財經新聞
香港寬頻(01310)上周自爆受到黑客攻擊,存放在舊伺服器的38萬舊客戶資料遭到非法盜取,公司昨日召開記者會交代調查的最新進展,行政總裁楊主光首次承認,是次事件涉及人為過失,包括未有為該伺服器進行加密,亦沒有把舊伺服器離線。
楊主光強調今次為個別事件,並推出一系列補救措施,包括未來3個月內刪除90萬舊客戶資料,只會保留舊客的個人資料6個月。
刪身份證信用卡號碼
黑客入侵事件發生之後,香港寬頻已報警,同時聘請網絡保安顧問羅兵咸永道了解事件。為亡羊補牢,楊主光昨日提出多招挽回客戶信心,除了擴大資訊安全團隊規模及加強網絡保安加密外,公司將在3個月內,從360萬客戶紀錄中刪除敏感資料,包括清除現存全數90萬舊客戶的資料;現有的270萬客戶資料,公司亦會在不影響身份認證的前提下,隨機刪除其身份證及信用卡號碼的部分數字,相信有關措施可以減低黑客未來再發動攻擊的誘因。
此外,香港寬頻宣布更改政策,現有客戶解約後,其資料日後只會保留6個月,用作跟進賬單尾數繳付情況。楊主光表示,之前以為稅務局要求他們保留資料7年,屬行業慣常做法,經了解過後,發現稅務局只要求公司保留財務資料,而非客戶資料,故決定作出更改。
未接獲黑客勒索要求
楊主光指出,上述措施將會諮詢電訊管理局、警方等意見,如獲當局同意,會盡快執行,「91日內做到、做唔到,都會update大家。」他認為,香港寬頻不再保存客戶全面的身份證及信用卡號碼後,若再被黑客攻擊便不合常理,「假如我哋係一間銀行,即我哋日後沒有紙幣(完整資料),只有碎銀(零碎資料)。」
楊主光又透露,至今黑客未曾與香港寬頻聯繫或提出勒索要求;由於案件正在調查中,故不便透露細節。
至於之前舊客戶的資料被儲存在接入互聯網的伺服器,有否用作市場推廣等用途?楊主光沒有正面回應,強調公司不需要這樣做,又指單靠廣告宣傳已吸引不少客戶主動上台。
專家籲加強員工培訓
香港電腦學會網絡安全專家小組執行委員會成員黃永昌認為,香港寬頻採取的補救措施「幾進取」,應該可以減少黑客的犯案動機,然而不排除黑客仍可利用其他個人資料,例如電話、地址及電郵等進行詐騙。
為了避免被黑客攻擊,黃永昌建議同類公司可以進行員工培訓,提高對詐騙電郵的警覺性,以及加強進行網絡攻擊演練測試。
黃永昌指出,黑客大部分是機會主義者,往往都是隨機在互聯網上找尋保安漏洞,發現機會便嘗試攻擊;香港寬頻有做得不完善之處,若是被針對攻擊,應會受到勒索要求,否則黑客的目的,有可能欲把資料售予地下組織,用作偽造身份向銀行借錢等不法用途。
香港寬頻股價未有受今次資料外洩事件拖累,反因上周四公布的中期業績表現理想,刺激股價連升3個交易日,昨天收報11.38元,逆市飆7.8%,創歷史新高,3日累漲17%。
支持EJ Tech
如欲投稿、報料,發布新聞稿或採訪通知,按這裏聯絡我們。