新聞稿

個人資料私隱專員公署（私隱專員公署）今日發表（一）又一村花園俱樂部有限公司（又一村花園俱樂部）資料外洩事故的調查報告，以及（二）保護兒童網上私隱的實用貼士。
 
（一）又一村花園俱樂部的資料外洩事故
 
調查源於又一村花園俱樂部於2025年10月31日向私隱專員公署通報的資料外洩事故。事故涉及又一村花園俱樂部存放於伺服器內的俱樂部管理系統檔案遭勒索軟件加密而無法運作（外洩事件）。
 
有關的俱樂部管理系統負責管理俱樂部的會員資料，而所有相關的個人資料均儲存於上述伺服器內，並由外判服務供應商負責提供及維護系統，服務供應商會透過專用的遠端存取軟件連接伺服器，以提供技術支援。
 
調查發現，事發時相關遠端存取軟件屬已過時版本，並存在已知的保安漏洞。黑客利用該漏洞成功竊取服務供應商的帳戶憑證，從而直接進入儲存大量個人資料的相關伺服器。此外，該伺服器長時間保持登入狀態，俱樂部並無實施額外的身分認證措施，進一步削弱系統的保安防護。同時，俱樂部的防毒軟件及防火牆均已過時，未能偵測及阻止黑客活動。
 
又一村花園俱樂部為一所私人、非牟利的社交及康樂機構，專門為已登記會員及賓客提供康樂設施及餐飲服務。外洩事件合共影響9,045名資料當事人，包括1,553 名活躍會員、1,723 名附屬卡持有人、1,313 名前會員，以及 4,456 名前附屬卡持有人。受影響的個人資料包括姓名、香港身份證號碼及／或護照號碼、出生日期、電郵地址、聯絡電話及地址。
 
在外洩事件發生後，又一村花園俱樂部已通知受影響的人士，並採取多項補救措施，包括停止使用存在漏洞的遠端存取軟件、對所有遠端存取連接進行監控、將所有伺服器及端點的防毒軟件及防火牆更新至最新版本，以及將儲存於伺服器內的個人資料檔案加密。
 
私隱專員公署就外洩事件共進行了四次查訊，並審視了俱樂部提供的資料，以及俱樂部就外洩事件的跟進及補救工作。經考慮外洩事件的情況及調查所獲得的資料，個人資料私隱專員（私隱專員）鍾麗玲認為又一村花園俱樂部的以下缺失是導致外洩事件發生的主因（詳見附件一）：─

1. 使用已過時並存在保安漏洞的遠端存取軟件；
2. 伺服器的遠端存取欠缺用戶身分認證措施；
3. 使用已過時的防毒軟件及防火牆；
4. 欠缺資訊保安的機構性措施；及
5. 過長地保留個人資料。

又一村花園俱樂部在外洩事件發生前，未有採取適當及充分的機構性及技術性資訊保安措施，以保障其資訊系統內所儲存的個人資料，私隱專員對此表示失望。基於上述情況，私隱專員裁定又一村花園俱樂部沒有採取所有切實可行的步驟以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《個人資料（私隱）條例》（《私隱條例》）的保障資料第 4(1)原則有關個人資料保安的規定。
 
此外，私隱專員認為又一村花園俱樂部沒有採取所有切實可行的步驟，以確保個人資料的保存時間不超過使用相關資料實際所需的時間，因而違反了《私隱條例》的保障資料第 2(2)原則有關個人資料保存期限的規定。
 
私隱專員已向又一村花園俱樂部送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。
 
私隱專員指出，涉及會員及客戶的資料庫通常載有大量、完整且持續更新的個人資料，因而成為網絡攻擊的主要目標。黑客一旦入侵會員及客戶資料庫，往往會竊取大量個人資料，並出售相關資料用作不法用途。私隱專員鍾麗玲提醒所有收集和保存大量會員及客戶個人資料的機構：「會員及客戶資料屬於機構的重要資產，並可說是網絡攻擊的高風險目標。機構應採取主動的策略，定期檢視資訊系統保安措施的成效，並投放足夠資源以保障會員及客戶的個人資料，從而遵從《私隱條例》的規定，並符合資料當事人的合理期望。」
 
私隱專員建議機構應採取足夠及合適的機構性及技術性措施，以保障載有個人資料的資訊系統，包括：

• 及時更新遠端存取軟件、防毒軟件及防火牆，以修補已知漏洞；
• 為存取資料實施有效的用戶身分認證，包括使用強密碼及多重身分認證；
• 建立充分的機構性措施，包括資訊保安的內部政策及穩妥的遠端存取方案；
• 定期進行保安風險評估、漏洞掃描及系統審計，以識別並修補保安弱點；
• 制定資料保留政策，確保個人資料不會被不必要地保留；及
• 為員工提供定期資訊保安培訓。

私隱專員公署鼓勵機構參考公署發布的《資訊及通訊科技的保安措施指引》及《資料外洩事故的處理及通報指引》，以加強防範網絡攻擊，提升網絡安全和數據安全。為協助企業保障數據安全，私隱專員公署已推出「數據安全」專題網頁[1]、「數據安全」熱線 （2110 1155），以及方便企業就其資訊系統的資料保安措施進行自我評估的「數據安全快測」[2]。
 
另外，為協助機構，特別是中小企及非牟利機構，加強保障數據安全及網絡安全，私隱專員公署今日起再度推出「數據安全套餐」。參加「數據安全套餐」的機構可免費進行「數據安全快測」，以評估其現行數據安全措施是否足夠，並在完成「快測」後，獲得五個免費名額，參加由公署舉辦的研習班及講座。
 
（二）《保護兒童網上私隱——給家長及老師的實用貼士》 

在現今的數碼世界，兒童往往從小開始接觸網上學習平台、社交媒體平台、網絡遊戲及其他網上服務。互聯網一方面為兒童帶來便利，以及豐富的學習與社交互動體驗；另一方面亦令他們面對日益增加的個人資料私隱風險，例如被過度收集或保留個人資料，甚至將相關的個人資料用於網絡欺凌、「起底」，以及詐騙等活動。
 
私隱專員鍾麗玲表示，相比成人，兒童一般較難充分理解其網上行為對個人資料私隱及資訊保安所帶來的影響。因此，為支援家長及老師，私隱專員公署發布《保護兒童網上私隱——給家長及老師的實用貼士》（《貼士》），就家長及老師如何協助兒童在網上世界保障其個人資料私隱及安全，提供實用的建議。私隱專員鼓勵家長及老師攜手合作，為兒童營造一個安全及私隱友好的數碼環境，主動引導他們建立良好的上網習慣，並加強其保障個人資料私隱的意識，使他們能夠安心及安全地參與網上活動。
 
《貼士》就家長及老師如何引導兒童保障其網上個人資料私隱提供多項實用建議，重點包括：

1. 親身參與兒童的網上活動：《貼士》鼓勵家長及老師與兒童討論上網時需要注意的事項，善用平台提供的家長操控措施監察兒童的網上活動，並親身體驗最新科技，以深入了解網上平台的功能和服務；
2. 捍衛兒童的網上私隱：家長及老師應提醒兒童，在使用網上平台或與人工智能工具互動時，不要過度分享個人資料，慎留數碼足跡，並檢查及調整預設的私隱設定。同時，亦應培養兒童尊重他人私隱的意識；
3. 樹立好榜樣：家長及老師應以身作則，透過保障和尊重自己及他人的個人資料私隱，為兒童樹立良好榜樣，例如在分享朋友及家人的個人資料之前，先諮詢他們的意願。家長及老師在網上分享有關兒童的資訊時，亦應以兒童的最佳利益為首要考慮；及
4. 提醒兒童數碼世界的陷阱：家長及老師應警惕兒童有關網上詐騙、網絡欺凌、人工智能深度偽造技術的濫用及「起底」等風險，並提醒兒童他們的個人資料對不少機構而言是有價值、有銷路的資訊；以個人資料換取看來是「免費」的服務未必划算；以及互聯網上沒有永久「刪除」鍵。

下載《保護兒童網上私隱——給家長及老師的實用貼士》：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/leaflet_childrenonlineprivacy_c.pdf
 
此外，為協助家長及老師更容易理解相關貼士，私隱專員公署亦發布了一份「懶人包」，扼要總結實用貼士。下載「懶人包」：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/safeguarding_practicaltips.pdf




附件一
 

1. 使用已過時並存在保安漏洞的遠端存取軟件：又一村花園俱樂部用於遠端存取的軟件於事發時屬已過時版本，並存在已知的保安漏洞，黑客利用該漏洞發動勒索軟件攻擊。調查發現，相關軟件開發商早於2025年1月已發出保安警報，提醒受影響的用戶，惟服務供應商並不知悉有關警報。此外，又一村花園俱樂部及服務供應商均未有就相關軟件建立任何保安更新或修補機制；
    
2. 伺服器的遠端存取欠缺用戶身分認證措施：又一村花園俱樂部刻意將存放伺服器的電腦長時間維持於登入狀態，確保用於遠端存取的軟件可持續在背景運行，令服務供應商毋須額外認證便可進行遠端存取。俱樂部表示，相關做法基於操作便利及沿用舊有操作，以便服務供應商能即時提供遠端技術支援。惟於外洩事件發生時，該軟件並未具備多重認證功能，致使黑客能在毋須進一步認證的情況下，憑藉已竊取的憑證經該軟件進入系統；
    
3. 使用已過時的防毒軟件及防火牆：由於維護周期出現疏漏，相關伺服器上啟用的防火牆已屬過時，因而限制俱樂部偵測及阻截黑客活動的能力。俱樂部亦承認，其防毒軟件同屬過時，導致於外洩事件中未能偵測到任何與勒索軟件相關的警報；
    
4. 欠缺資訊保安的機構性措施：又一村花園俱樂部在外洩事件前並未制定任何書面的資訊保安政策或指引。雖然俱樂部曾與服務供應商簽訂有關俱樂部管理系統及伺服器技術支援的服務合約，但該合約並未就資訊保安訂明任何明確要求。俱樂部亦未能證明其已採取任何有效的機構性措施，以保障相關伺服器或儲存在內的個人資料安全；及
    
5. 過長地保留個人資料：基於法定財務紀錄保存要求，以及查核會員復會申請及處理過往帳單爭議的需要，又一村花園俱樂部於會員或附屬卡持有人取消會籍後，最少保留其個人資料七年。然而，調查發現，又一村花園俱樂部保留了888名前會員及3,321名前附屬卡持有人的個人資料，而相關保存時間均已超過七年。