(獨媒報導)私署專員公署調查香港芭蕾舞團去年10月一宗資料外洩事故,估計涉及37,840人,包括僱員、求職者、門票訂購者等,洩漏資料包括身份證資料、銀行號碼及信用卡號碼。公署調查後認為,芭蕾舞團有多項嚴重的「遠端程式碼執行漏洞」,舞團沒有任何關於保安修補及更新伺服商的政策及程序,有明顯缺失。而服務供應商在進行系統遷移過程,不必要地將伺服器曝露於互聯網,大幅增加遭受網絡攻擊的風險。
軟件過時 利用漏洞輕鬆進入網絡
公署表示芭蕾舞團的網絡最初於去年9月15日遭黑客入侵,由於一組伺服器的運作軟件已屬過時,黑客遂利用該伺服器的漏洞,成功進入芭蕾舞團的網絡。黑客隨後透過各種惡意工具及程式,包括轉儲憑證工具及遠端存取工具,在取得資訊科技管理員及用戶的帳戶密碼後,進而獲取了與芭蕾舞團的網絡的相關資料及與網絡連接的電腦的詳情,並在其網絡內進行橫向移動。
在9月17日黑客利用一個系統管理員帳戶,放置勒索軟件「LockBit」,導致儲存在芭蕾舞團資訊系統內的檔案被加密,黑客並竊取了系統內的資料及檔案。
無法確實受影響數目