還記得去濱海灣金沙（Marina Bay Sands）登記會員、買票、參加活動時留下的個人資料嗎？現(xiàn)在傳出——這些資料被黑客盜走，還在暗網(wǎng)上兜售。

事情是怎么發(fā)生的？

新加坡個人資料保護委員會（簡稱個資委）在昨日（10月28日）公布調(diào)查結(jié)果：濱海灣金沙在2023年3月進行一次大型軟件更換作業(yè)時，出現(xiàn)嚴重疏漏，導(dǎo)致66萬5495名客戶的個人資料（包括姓名、電話、郵箱等）被黑客入侵、外泄。

受影響的系統(tǒng)是金沙旗下的藝術(shù)科學博物館“ArtScience Friends”會員網(wǎng)頁。原本在系統(tǒng)遷移時應(yīng)該要更新的一個識別碼（API ID）——被遺漏了！結(jié)果黑客就從這個小洞鉆了進來。

更糟的是，這個漏洞整整六個月才被發(fā)現(xiàn)。在這期間，黑客早已把資料拿去賣了。

圖源：新加坡個人資料保護委員會

金沙又是怎么解釋的？

他們說軟件更換那次比較特殊、復(fù)雜，無法自動化操作，只能靠人工。而且這份工作交給了能力最強的員工來處理。對此，新加坡個資委認為：盡管清楚知道這類軟件更換作業(yè)的風險，金沙卻只靠一名職員人工整理，沒有第二層復(fù)核機制； 也沒有完善的風險管理流程就是疏忽。

對此個資委決定是？

個資委直言不諱：“你是大公司，有資源、有錢，本來就該做到更好！”他們認為金沙明顯疏忽，沒有履行《個人資料保護法令》（PDPA）下的保護義務(wù)。原本罰款定為45萬元，但因為金沙在發(fā)現(xiàn)問題后立刻補救、通知客戶，所以減到31萬5000元。

不過，這仍是新加坡歷來第二高的個資泄露罰金。第一名是2019年的IHiS（新聯(lián)科技 Synapxe 前身）——當時因為醫(yī)療資料外泄，罰了75萬元。

老實說，金沙的解釋——什么“技術(shù)限制”“只能人工操作”——聽起來不是不能理解。但問題是你又不是第一次做系統(tǒng)升級的公司，而且手里握著的是幾十萬客戶的資料，這種時候還完全靠人工操作，真的說不過去吧？這就好比開飛機只靠一個機長、連副機師都不設(shè)——再厲害的人也可能出錯。

結(jié)果一出事，受傷的不是公司，而是那些信任你的客戶。畢竟，一旦資料落到黑客手里，釣魚詐騙、身份盜用只是時間問題。

如果你曾經(jīng)在金沙注冊會員，不妨注意一下近期有沒有奇怪的郵件、簡訊或電話。

資料外泄，不只是新聞標題，而是可能影響你我生活的現(xiàn)實。

LEO丨編輯

CY丨編審

新加坡個人資料保護委員會丨來源

新加坡個人資料保護委員會丨圖源

免責聲明：

1.凡本公眾號注明文章類型為“原創(chuàng)”的所有作品，版權(quán)屬于看南洋和新加坡眼所有。其他媒體、網(wǎng)站或個人轉(zhuǎn)載使用時必須注明：“文章來源：新加坡眼”。

2.凡本公眾號注明文章類型為“轉(zhuǎn)載”、“編譯”的所有作品，均轉(zhuǎn)載或編譯自其他媒體，目的在于傳遞更多有價值資訊，并不代表本公眾號贊同其觀點和對其真實性負責。

上新加坡眼官網(wǎng)看新聞更爽