警方破獲，有中國的犯罪集團涉嫌勾結國內不肖人士，透過駭客盜取捐款人資料，冒名公益團體進行詐騙，包含唐氏症基金會，以及大甲媽社福基金會，共45家公益團體都成為被假冒的對象。近一年來共有188名捐款人，被騙走3400萬元。 Show 直搗犯罪據點，查扣大量機台，主嫌當場被捕。走在最前面，是羅姓嫌犯。他涉嫌冒名公益團體，謊稱扣款錯誤，請捐款人再次付款。同時利用駭客，盜走捐款人名單，幕後還有中國的犯罪集團。 刑事局偵查第一大隊副大隊長楊適瑜表示，「專案小組追查發現，陸續也查緝了詐騙集團，包括車手、車手頭、幹部等50名嫌犯到案。」 光是以唐氏症基金會名義，就成功騙走善款超過800萬元，另外也包括育成社福基金會、大甲媽社福基金會等，共45家公益團體，客戶個資全外洩，成為被假冒對象。將近一年，詐得188名捐款人，高達3400萬元。 刑事局偵查第一大隊副隊長陳漢仁說：「他是用解除分期付款的方式，然後詐騙被害人，去ATM操作匯款，匯款到人頭帳戶。」 除了指示被害人前往ATM操作外，洗錢方式也花樣百出。先在蝦皮創賣場，自導自演假交易，產生了虛擬銀行帳號，讓捐款人匯款，錢進了蝦皮錢包後，再購買加密貨幣，製造斷點。而全案會曝光，其實一年前，許多公益團體紛紛公開呼籲民眾，小心受騙。 社會各界方從疫情降級中慢慢復甦，公益界在疫情期間為了緊急應變社會服務，已經歷過一波陣痛與改變，但一波未平一波又起，現在公益界正經歷另一場動盪的危機，而且是要與公益最堅強的後盾──捐款人，一起面對的資安危機。 詐騙連環爆七月底，全台公益團體陸續接到捐款人反應，有心人假扮公益機構人員，利用捐款人資料進行詐騙。「捐款設定有誤，依照指示進行更改」、「捐款事務需要相關詳細個資」，是捐款人最常遭遇的情況，這些詐騙話術與一般詐騙手法相似，普遍都欲將捐款人引至ATM，進一步竊取金融帳戶資訊。 然而，不同於一般商業行為的詐騙，詐騙集團利用公益的正面形象，以及捐款人的善心、信任，讓受害者更容易信以為真。
台灣公益團體自律聯盟陸續接獲聯盟內組織的反應，八月上旬詐騙事件持續延燒，公益團體都相當著急，不確定該如何應對捐款人。衛服部社家署也在8月2日通知留意公益詐騙，切勿上當。  與此同時，經刑事局與調查局的介入調查，發現遭到詐騙影響的公益團體，其所使用的捐款系統，皆屬於網軟公司所提供的服務。調查推估網軟資料庫的捐款人資料，早在六月就遭駭客入侵竊取，資料最後落入詐騙集團之手，才在七月開始大規模的詐騙。 駭客看準公益團體捐款人的可利用價值，而網軟公司過去是由喜瑪拉雅基金會成立，在二十年前隨網路捐款發展之時而起，至今承接了220家公益團體的服務。上百家的規模顯見此次詐騙影響範圍相當大，連環爆的星火勢必會持續在公益界燃燒。 火燒兩頭，系統公司反應慢半拍網軟公司的資料庫推估在六月間遭駭，但網軟卻遲於7月27日經公益團體反應之後，才意識到捐款資料外洩，緊急徹查系統，察覺確實有境外可疑IP。8月2日網軟蒐集到完整資料，向刑事局與調查局通報，8月5日正式向桃園調查局立案。 時間來到8月13日，刑事局確認駭客攻擊手法，此次攻擊事件並非單點進行，而是多方攻擊主機。由於網軟公司無法確定遭攻擊的範圍，根據刑事局的看法，只能假定所有捐款人資料，都已被駭客竊取。 面對資料遭全面竊取的局面，網軟循基本的途徑，進行掃毒、鎖定IP、變更密碼。但網軟對整起攻擊事件的回應，顯見其資安維護能力不足，需要尋求外界一同協力，此時資策會科研所、國際資安大廠紛紛提供協助，確認現行系統安全無虞，並持續進行資安相關的認證。 然而，除了縫補資安的漏洞，最重要的還是與客戶端公益團體的溝通，公益團體也才能掌握狀況，告知捐款人。在得知資料遭大規模竊取之後，網軟表示發送了四十萬封簡訊給捐款人，提醒不要受騙。雖然網軟想從捐款人端介入，阻止影響擴大，但有些公益團體卻反應簡訊發送並不完整，仍有部分捐款人未收到通知。 在整起捐款人資料外洩的事件中，網軟與公益團體之間的互動也遭質疑太過消極。事件爆發之初，幾乎是處於被動狀態在與公益團體溝通，發布消息與應對措施也是慢半拍。事態的進展，卻也真實反映了網軟作為系統公司的兩難之處。捐款人個資外洩如同連鎖效應，勢必影響捐款人與公益團體之間的信任關係，這也牽連到網軟與公益團體之間的決策，究竟要不要全面告知捐款人？是否會引起更大恐慌？又該如何對捐款人交代？ 在煙硝中嘗試止血，公益團體的下一步？「公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。」台灣個資法第12條明確說明，相關單位有義務告知當事人個資外流，否則將承擔相關法律責任。這也意味著不論是公益團體還是系統商，都應與可能受影響的捐款人公開透明地溝通。 事件延燒到了八月中下旬，網軟始終無法確認受影響的範圍，甚至多爆出了信用卡相關個資也可能外流的疑慮。由於現今公益團體的定期定額捐款，多是綁定捐款人的信用卡進行定期支付，若信用卡資訊外流，為了防範盜刷，持卡人必須換卡。但這也令公益機構擔憂，捐款人換卡之後，未必會繼續捐款。 在事件爆發的一個月期間，從一開始公益團體前瞻顧後，擔憂打壞與捐款人之間的關係，到後來隨著影響漸漸擴大，公益團體之間也漸漸有了共識，並開展出行動的網絡。 網軟公司所服務的220家團體中，台灣公益團體自律聯盟的盟友就有65家受到影響。對此聯盟也緊急應變，不斷對公益團體和捐款人宣導，如何應對可能找上門的詐騙。為了維護公益團體的權益，也將集體採取法律的途徑進行報案，盡力將駭客繩之以法。 在所有緊急應變的作為之中，最艱困的仍舊是如何確保往後的資訊安全。這也是為何公益團體要求網軟應取得第三方的資安認證，同時也要求應由獨立第三方進行事件調查，藉由調查報告才能對捐款人有所交代。 然而，若是要徹底檢視資訊安全的議題，還是得回歸到公益團體與系統公司之間的協作、互動模式，雙方能如何共同提升資訊安全。 看見公益之傷至善基金會是在此次個資外洩中受到影響的公益團體，8月11日就緊急發布反詐騙聲明，採取積極作為來面對捐款人。並且也呼籲其他公益團體，要主動掌握與捐款人之間的溝通，由機構直接、全面地溝通，才是保護捐款人、避免事態擴大的最好作法。 挽救並穩住捐款人的信心，是許多公益團體的當務之急。同時，也讓公益團體意識到在近幾年發展數位轉型的歷程中，資訊安全是長期被忽略的一環。 公益服務與流程數位化，可以更有效率的幫助公益工作者，在資源有限的情形下，公益團體自然會將資訊整合服務外包給第三方進行協作。但工作者本身若沒有提升資訊素養，只是將服務外包節省時間成本，危機就會在不知不覺中累積。此次個資外洩事件，就是一個引爆的時機點。 培養自身的資安意識確實刻不容緩，在資訊協作的時代中，建構一個良性、暢通的互動網絡，也才是能確保穩定的根本之道。但眾人同時也身在「雲端世代」，資訊以多元方式存放和流動，已是現今運作的常態。這更帶來了多重的挑戰，包含從使用者端的安全、到混合雲端的安全，乃至於整個網絡的安全。 在此次網軟系統商的資安漏洞中，能望見的不僅只是單方面系統運作問題，以及基礎資訊建設缺乏革新，更深刻的是必須看見，在數位轉型的時代中，資訊協作的各方從意識培養、運作規則、溝通到培力，各個階段必須承擔什麼樣的責任。 看見公益之傷，對症下藥，支持的力量不會遠去，社會才得以持續前行。接下來，NPOst將針對公益團體的數位轉型，以及資訊安全議題進行系列報導。 Tags: 個資公益團體捐款人數位轉型詐騙資訊安全 作者介紹NPOst 編輯室NPOst 公益交流站，隸屬社團法人臺灣數位文化協會，為一非營利數位媒體，專責報導臺灣公益社福動態，重視產業交流、公益發展，促進捐款人、政府、社群、企業、弱勢與社福組織之溝通，強化公益組織橫向連結，矢志成為臺灣最大公益交流平臺。另引進國際發展援助與國外組織動向，舉辦每月實體講座與年會，深入探究議題，激發討論與對話。其姐妹站為「泛傳媒」旗下之泛科學、泛科技、娛樂重擊等專業媒體。NPOst 臉書：https://www.facebook.com/npost.tw 年末一向是捐款的旺季，而台灣人究竟有多愛捐款？根據公益團體責信聯盟的調查指出，2020年台灣人定期定額捐款高達 1062 億，相當於可以捐出一間上市公司仁寶電腦了。 在數位轉型的浪潮之下，公益團體不僅善用多元募款管道與捐款人維繫關係，也透過數位化的資料庫系統管理所有捐款人的資料，不過伴隨而來的資安風險卻始終未被看見。 您的閱讀篇數已達上限立刻訂閱全閱讀，即可享全站不限篇數閱讀 了解更多 立即訂閱
9954瀏覽數 分享 其他
發布時間：2022-01-05 9954瀏覽數 2021年暑假，刑事局每週公布的詐騙高風險賣場中，反常地出現13間公益團體的名字。 其中，26年歷史的老字號社福團體至善基金會也赫然在列，與蝦皮、PChome等電商並列。 至善基金會副執行長武庭芳，在8月初才剛聽說使用同資訊系統商的公益團體，有捐款人遭詐騙，沒想到8月11日那天，至善辦公室裡電話鈴聲大作，全是接到詐騙電話的捐款人打來確認資訊。 「電話鈴沒停過，電話也全滿線，我們從早接到晚上十點才離開公司，」從事助人服務工作超過20年的武庭芳，從來沒有遇過這種狀況，她當機立斷，要求系統商迅速通發簡訊提醒所有至善基金會的捐款人，也在所有社群網站、電話答錄換上警語，希望捐款人不要再上當受騙。 可是，她不禁感到疑惑，其實至善的刷卡是委託另一家資訊商，為什麼捐款人還被詐騙？ 幾個月後，答案終於水落石出。「這可能是對持卡人信心衝擊最大的一次，」Visa台灣區風險負責人沈玫芳略帶沈重地說，這起案件的影響性。 沈玫芳分析，之前的盜刷主要都來自交通、零售廠商的卡號洩漏，盜取捐款資料，即使在亞洲都是少見的新模式。 含金量高的捐款人個資，竟成駭客新藍海這起台灣地區最大規模的公益團體捐款資料被盜案，問題出在資料庫系統。 提供至善與其他200多間NPO系統服務的是一間叫網軟（Intersoft）的資訊公司。 網軟是由公益團體喜馬拉雅研究發展基金會在1990年代所成立的資訊系統公司，當時台灣公益團體正邁入資訊化的階段，網軟為公益團體提供所有需要的資訊系統服務，包括捐款管理、志工管理、個案管理、行政管理等系統，也提供線上金流整合的服務。
雖然，網軟聲稱捐款系統資料庫獨立於其他的管理系統，但經天下記者四次詢問，網軟仍不願意透露受影響的資料庫規模有多大、資料量有多少。 然而，單單是捐款管理系統的資料庫裡的未加密資料欄位之豐富，就讓三名資安專家為之色變。 協助至善基金會調查資料外洩情事的資安警察賴重睿指出，外洩的資料包括：捐款人姓名、住址、電子郵件、聯繫電話、捐款方案、財務狀況。「捐款要徵信、抵稅，所以捐款人的資料都填得正確又詳細。」 換言之，這對駭客來說是非常有經濟價值的資料。 盜刷引Visa關切，發卡、收單銀行斷金流最讓人感到訝異的是，照理說，有儲存信用卡卡號的資料庫，都必須加密。 但正在協助公益團體打官司的尚澄律所主持律師蔡昆洲指出，案發後，公益團體才發現，資料庫裡大量信用卡卡號沒有加密。
更諷刺的是，多數人之所以用紙本授權書，是因為認為自己使用紙本授權書比線上刷卡還安全。 由於資料庫沒有加密，反而在毫無警覺的情況下，卡片持續被盜刷，直到異常的刷卡行為驚動銀行敏銳的神經，主動幫持卡人停卡、換卡。 公益團體自律聯盟總監沈怡如說，捐款人開始會打來問，自己被換卡跟公益團體資料外洩有沒有關係，這對整體捐款生態當然傷害很大。 至善基金會原先有三千多筆使用信用卡委託授權的扣款，「從10月開始就有這種定期定額扣款刷不過，11月單月就有188筆，」武庭芳憂心地說。 至善是案發後，最積極跟捐款人溝通，更換系統，也採取法律系統的公益團體。 天下採訪Visa組織，詢問標準流程。 針對卡號資料安全，國際信用卡組織其實有共通的支付卡產業資料安全標準（PCI DSS）。 例如，在Visa資安藍圖中，資訊流裡任何儲存、傳輸或處理帳戶的機構都需要遵守PCI DSS的認證，並針對不同交易量的商戶有不同等級規範。 按規定，公益團體應該要跟銀行登記將系統外包給網軟，銀行替網軟向Visa登記註冊，納管網軟的資安標準。 準備一次PCI DSS的認證費需約40到60萬，增設設備的一次性支出可能高達上百萬。 而案發後，公益團體才發現，網軟並沒有PC IDSS認證。 目前，網軟已決定不再儲存卡號，並準備刪除所有資料庫當中的資料，也不再處理公益團體的紙本刷卡授權書。 薄弱的防護，資安問題需要全身健檢網軟不碰卡號了，可是仍然還有其他捐款人、志工、義賣等數個系統的資料安全仍存在風險，也因此目前網軟正在接受顧問輔導申請ISO 27001資安標準認證。 一位資安專家表示，「網軟針對整個程式開發邏輯可能存在的漏洞，還沒有提出系統性的解決方案，」他打了比方，這種處置像是頭痛醫頭、腳痛醫腳，但網軟需要的其實是定期的全身性健康檢查，檢查出未知的問題，而不是等真的出事了才去補漏。 在資安專家的眼中，網軟原先的防護薄如蛋殼，不足以確保系統能抵禦目前主流的駭客攻擊手法。 不過在公益團體普遍缺乏專職資訊人員、資源不足的情況下，目前仍然有上百家公益團體持續使用網軟的系統服務。 另外，外洩的個資不會再回頭。 迄今，網軟與公益團體仍不知道被駭的範圍，讓未知的資安漏洞猶如未爆彈，很難知道駭客把這份名單做了哪些應用、也不知道下一次可能還會使用哪些攻擊手法，可捐款人的信任禁不起一再消耗。
公益團體需要建立資安意識至善基金會在外洩事件後，在組織內配置了一位專門的資訊系統人員，也將系統從網軟轉移到微軟 Azure上雲端，雖然系統維護年費價差多了14倍，「對民間團體來說是辛苦的，但保護好捐款人的資料，我們責無旁貸。」 |
公益團體 個資 外 洩
版權 © 2024 moicapnhap Inc.
