消費者委員會回應私隱專員公署調查報告

消費者委員會（消委會）於2023年9月20日早上發現電腦系統遭入侵，隨即以迅速、負責任及具透明度的方式處理事故。除了向警方報案，消委會亦同時主動通報個人資料私隱專員公署（私隱專員公署），並於過去半年一直提供大量相關資料和全力配合有關方面的調查工作。私隱專員公署已經完成其調查並於今日發表報告。

消委會一向十分重視網絡安全和採取不同措施提升系統保安。在遭黑客入侵後，消委會在委員會的指導和監察下，採取一系列的應對行動及進一步加強系統保安措施，包括：
一、在發現事故後，即時採取相關遏制行動，以保護並恢復資訊科技系統；
二、根據風險評估，在48小時內舉行新聞發布會主動公布事件和呼籲所有可能受影響人士要提高警覺，隨後再發出個別通知和網絡安全提示；
三、委託鑑證專家檢查系統，深入調查事件起因和資料是否有被盜取，並根據專家意見作出遏制和強化行動，加強資訊科技保安措施以防止黑客再次入侵；
四、再三確認鑑證調查結果後，以負責任的態度向受影響人士發出個別通知，及向不受影響的人士發出更新通知以釋疑慮；
五、委託服務商全天候監察暗網，以便第一時間知悉是否有被盜取的資料被公開。

鑑證調查結果顯示，黑客非法挪用具管理員權限的帳戶憑證，並通過安全資料傳輸層虛擬私人網路（SSL VPN）入侵消委會電腦系統。儘管鑑證專家及消委會通過不同技術及多角度進行調查，惟未能確定黑客獲得憑證的原因。然而可以確定的是，有關帳戶一向採用複雜密碼、未曾受到暴力攻擊(bruteforcing)，該帳戶憑證亦未有在暗網出現。根據相關SSL VPN流量，受影響的資料少於1.5GB，而該流量包含黑客進行網路掃描或透過圖形介面進行遠端管理控制所產生的流量。

整體而言，受影響的個人資料非常有限，主要涉及289名曾經向消委會遞交投訴的人士。有關資料載於一份用作投訴數據分析的試算表，當中包括姓名及主要聯絡方法，例如電話、電郵地址或地址，並不涉及信用卡、銀行帳戶及財務資料。此外，有關資料亦包括載於消委會內部職員名錄的138名現任職員及24名前職員的姓名、所屬部門及辦公室電話；載於消委會一份草擬招標書中的一位職員的聯絡資料；及載於消委會資訊科技服務供應商名錄的26名員工聯絡資料，而此三份檔案分別載於兩位職員的工作電腦。調查未能確定相關資料是否被下載，但根據外聘的暗網監察服務商的資料，至目前為止未有發現任何受影響的消委會資料被公開。

就私隱專員公署指出消委會在個人資料保障方面的不足之處和提出的具體建議，消委會深表重視，在事故發生後已積極採取即時行動糾正問題，當中包括為遠端存取資料啟用多重要素認證（MFA）功能、全面檢視網絡安全方案的功能及作出妥善設定，及進一步加強內部培訓以提升員工對網絡安全的意識和行為。消委會亦正完善其資訊科技政策和工作指引，同時正委託威脅偵測與應變服務供應商，以加強抵禦網絡保安威脅的能力。

網絡安全風險所帶來的挑戰與日俱增。消委會務必在安全至上的原則下，持續提升資訊系統保安系統及數據安全、採取與時並進的保安技術及方案、提升個人資料管理的工作、加強內部培訓、資料管理政策及指引，並定期進行測試和檢討以提升網絡系統的管治水平。

消委會再次強烈譴責黑客在未經授權下進入其電腦系統及取覽資料的非法行為，並對受影響的人士深表歉意。

二零二四年五月二日