資安危機下 協會面臨的挑戰|本期焦點

文/企劃部 陳光銘

資安危機下 協會面臨的挑戰

當疫情趨緩,經濟生活也正在回到正軌上,協會在疫情期間面臨捐款下滑與服務調整之際,已經歷過一波陣痛與改變。然而一波未平,一波又起,協會與公益界正經歷一場更嚴重的「資安危機」事件,並且與協會最重要的支持者——捐款人息息相關。

 


 

危機是如何開始的
  協會在8月2日收到網軟公司Email 通知,請協會在公開社群與網站做「防詐騙宣導」,當時我們還不知道發生了什麼狀況,為什麼要做這方面的公開宣導。因為不確定,詢問網軟公司也僅得到如此回覆:他們客戶反應捐款人有接到詐騙集團電話,懷疑疫情下降後,詐騙反而升溫。建議協會可以公開宣傳,提醒捐款人小心詐騙。

  協會正在評估與了解情況之際,隔日網軟公司再次通知說明:旗下捐款系統因遭受駭客攻擊,已通報檢調單位並進入偵查階段,為保護捐款人,請配合防詐騙相關宣傳。我們發現大事不妙,網軟公司是協會捐款系統的網頁與後台之供應商,協會歷年的捐款人資料皆建檔在捐款系統上。但與網軟公司求證是否協會的資料也遭到駭客竊取,始終得不到明確回覆。

  於是開始找尋一下網路相關新聞,發現在7月底時,有少數幾個公益團體接到捐款人反應,詐諞集團假扮公益團體工作人員,利用捐款人個資進行詐騙。「捐款設定錯誤,依照指示進行更改」、「捐款業務需要相關詳細個資」,是捐款人最常遇到的詐騙狀況。令人不齒的是,有別於商業行為詐騙,詐騙集團利用公益團體累積多年的正面形象,以及捐款人的善心與信任,讓受害者更加信以為真。

事件持續蔓延 協會也無法倖免
  之後事件持續延燒,當一家又一家公益團體接連遭遇詐騙情況,大多是利用假日趁捐款人也無法電話求證。後續警方調查發現遭到詐騙影響的公益團體,所使用之捐款系統皆屬於網軟公司所提供的服務。駭客看準公益團體捐款人的可利用價值,網軟公司至少承接了200多家公益團體的服務。駭客竊取個資之後轉賣給詐騙集團,詐騙集團再利用個資進行詐騙行為。

  當協會了解大致狀況,後續在官網與FB皆發布詐騙提醒公告,提醒捐款人留意詐騙電話。我們真的很希望駭客「只」是拿走網軟公司捐款系統部分的個資,而協會不在其中。然而不幸的是,在8 月15 日協會的捐款人開始陸續接到詐騙電話,許多捐款人因而上當受騙遭受錢財損失。協會之後也立即在8月16日再次在各公開平台提醒反詐騙宣傳,且說明詐騙事件原委。

  爾後經查與推估網軟公司的捐款資料庫之資料,應該早在6月就遭駭客入侵竊取,最終將捐款人的資料賣給詐騙集團之手,於是在7月底開始,一個團體一個團體的進行詐騙。但網軟公司始終無法確定遭駭客攻擊之範圍,所以只能假定所有捐款人資料,都已被駭客竊取。足足有200 多家的公益團體規模,可見此次詐騙影響範圍相當廣大,並且會在公益團體界持續發展。

當危機發生時 該如何應對
  當8月15日協會陸續收到捐款人反映,協會是否個資外洩,有詐騙集團假冒員工進行詐騙。隔天協會也馬上在官網與FB發布聲明,並且發送電子報與簡訊提醒所有捐款人注意詐騙行為。整起事件對協會影響重大,因為捐款人個資外洩會造成連鎖效應,必定會影響捐款人與協會之信任關係。捐款系統部分的個資,而協會不在其中。然而不幸的是,在8月15日協會的捐款人開始陸續接到詐騙電話,許多捐款人因而上當受騙遭受錢財損失。協會之後也立即在8月
16日再次在各公開平台提醒反詐騙宣傳,且說明詐騙事件原委。

  在事件初期,網軟公司與協會之間的往來也相對消極,只能說是處在被動狀態在與協會溝通,對於協會提出的問題幾乎沒有正面答覆,而且在通知協會相關之消息與應對措施也是慢了半拍。因為這會影響協會對於訊息的公告程度與相關決策,協會是否要全面通知捐款人?這樣是否會引起恐慌?協會又該如何對捐款人交代事件因果?

  在這次危機中,最困難的是如何確保現在與之後的資訊安全。因此協會也向網軟公司提出應取得第三方資安認證,確保目前捐款系統安全無虞。同時網軟公司也應由獨立第三方進行事件整體事件之調查,藉由調查報告才能對協會的捐款人有所交代。但因為網軟公司態度過於消極保守,協會也正在積極找尋新的合作系統商,替換掉正在使用的捐款系統,進一步確保捐款人的資訊安全。

協會下一步 加入集體的力量持續前進
  個資法明確提到:「個資洩漏時,應查明後以適當方式通知當事人。」協會有義務告知捐款人個資外洩狀況,盡可能的與受影響之捐款人進行公開透明地溝通。第一時間主動告知捐款人,讓捐款人了解狀況並提供協助,提前提醒捐款人協會聯絡時間與確認資料方式,預防捐款人受騙。

  在網軟公司服務的200多家團體中,台灣公益團體自律聯盟的盟友就有60多家受到影響,作為盟友之一,協會參與自律聯盟及其他受害團體共同成立Line 社群,彼此更新事件調查的進度報告,以及探討後續的行動方針。透過集體的力量,公益團體之間彼此合作,並由自律聯盟主動向外尋找更多資源協助,同時也集體採取法律途徑進行報案,盡力將駭客與詐騙集團繩之以法。也持續釐清法律歸屬關係,探討後續民刑事求償的可能性,更希望未來能有更多資安教育資源的挹注。

真誠的面對 友善的回應
  8月中當協會捐款人開始接到詐騙電話時,協會也更積極處理相關問題,很多捐款人來電詢問,為什麼會這樣?協會也在第一時間向捐款人說明個資外洩的問題。捐款人是詐騙事件最直接關係人,也是最優先溝通對象,面對個資外洩的詐騙事件,最擔心的就是捐款人是否因此而失去了信任。

  為什麼協會因為資安不足,造成捐款人受騙而有財務損失?他們也會糾結,為什麼做善事反而可能會被詐騙錢財?而協會同仁也非常自責與難過,因為被詐騙的捐款人都是在行善,有些更是協會長期支持者。在面對捐款人的質疑,同仁保持同理心不斷溝通,雖然有部分捐款人接獲詐騙電話會先停止捐款,但多數捐款人給予的反饋都是正向的。

挽回捐款人信心 當務之急
  對於協會來說,當務之急是挽回捐款人信心,不要因為害怕失去而錯失最佳的溝通時機。此次資安外洩事件是個重大警訊,協會如果沒有持續跟上腳步,未來的數位落差只會越來越大。

  以捐款人的角度思考,捐款就像是消費概念,協會必須要對捐款人負責。在數位時代下募款管道是多元的,協會如何維護、管理捐款系統,與時俱進的資訊安全維護是基本投資。未來對症下藥,支持的力量不會遠去,協會才得以持續前行,下一步就是要嚴謹地做好資安防護,在協會與捐款人之間重新建立信任關係。

面對資安危機 協會的挑戰與革新
  協會正在積極找尋新的合作捐款平台系統商,要求其提供合格的資安認證,並且也將捐款系統部署在更安全的雲端平台,同時也透過專員與系統服務商保持溝通,進行資安管理與系統維護,定期檢核以強化資料庫的安全。後續更會邀請專業人士,對協會同仁進行資安課程,提升資安意識,資安相關知識是協會面臨數位轉型時最重要的一環。
  簡而言之,對內補足專業技能,對外更要求資訊系統商加強防護措施。加強資訊系統安全防護措施、改善組織內部權限管理與驗證機制,在與第三方系統商合作時,明確訂定雙方的權利及資安條款。

對捐款人的抱歉與提醒
  雖然此次協會為受害者,但針對個資外洩事件造成捐款人財物損失以及捐款人的諸多困擾,協會表達無限歉意,也希望後續的積極作為,可以阻止詐騙集團以公益之名行詐騙之實。
  最後,再次提醒捐款人如接獲可疑來電,聽到「解除設定」、「分期付款」、「重複扣款」、「ATM」、「安全碼」、「客服電話」、「系統被駭」、「信用卡號」等關鍵字,請直接反問對方是否為詐騙,並立即掛斷電話。同時撥打警政署165 反詐騙諮詢專線,通報詐騙電話號碼,並電洽本會確認。





0