3月18日,個人資料私隱專員公署(私隱專員公署)收到南華體育會的資料外洩事故通報,涉及約7萬名受影響人士。私隱專員公署已完成對事故的調查,調查報告指,南華會對保障所持有的會員個人資料意識薄弱,裁定南華會違反《個人資料私隱條例》,已向南華會送達執行通知,要求糾正。
據公布,受外洩事件影響的南華會會員數目為72315人,所涉及的個人資料包括姓名、香港身份證號碼、護照號碼等。私隱專員鍾麗玲在調查報告指,南華會對保障所持有的會員個人資料意識薄弱,對於南華會事前未能採取有效資訊系統保安措施,感到非常失望,裁定南華會違反《個人資料私隱條例》,已向南華會送達執行通知,要求糾正。
調查報告指出,黑客早於2022年1月已在南華會其中一台與互聯網連接的伺服器內安裝惡意程式,到今年3月,黑客透過潛伏在相關伺服器內的惡意程式,入侵南華會網絡,並安裝遠端控制軟件,隨後透過遠端存取對南華會的電腦系統展開暴力攻擊,並進行其他惡意活動,最終透過勒索軟件將載有會員個人資料的檔案加密。有關勒索軟件屬 Trigoma的變種,外洩事件導致南華會共8台伺服器、1台數據儲存器及18台電腦遭受勒索軟件攻擊及加密。黑客曾要求南華會支付贖金,為已被加密的檔案解鎖。
報告續指,南華會的伺服器被意外暴露在互聯網,成為黑客入侵的跳板。南華會資訊系統亦欠缺偵測措施,未有啟用密碼輸入失敗後的鎖定功能,令黑客可以在4小時內嘗試登入2萬次。南華會亦無為管理員賬戶啟用多重認證功能,欠缺保安政策及指引等。
私隱專員公署已向南華會發出執行通知,要求每年至少審視一次個人資料系統連結互聯網的必要性,定期檢視及更新偵測及警示工具,聘請獨立資訊保安專家每年進行風險評估及保安審計。南華會須在2個月內提交改善措施的證明文件。
私隱專員公署表示,外洩的個人資料或已被轉賣多次,提醒受影響人士要提高警惕,留意個人銀行戶口有無異常交易,並應更改登入密碼,啟用雙重認證功能等。公署又呼籲,受黑客入侵的機構不應提供贖金,交贖金不等於能取回資料,只會助長非法行為。