跳至主要內容

觀察台灣租車公司資料外洩事件和國外的類似個案


一月底時,TechCrunch的報導讓大家注意到台灣的租車公司發生了資料外洩事件,從報導中可以得知,這次的資料外洩的範圍,部分信用卡號碼、客戶身份證明文件,以及租車者的相片、簽名和租車詳細資訊。由於是租車公司,主管機關大概是交通部公路總局,所以也看到台灣的後續報導是公路總局要求該公司限期改善,在 TechCrunch 的原報導中也提到他們有發信問數位發展部,已經通報 TWCERT/CC 協助處理,也已經無法自該資料庫下載資料。

這件事情讓我想到幾個美國的案件,我簡單的摘要並提供美國FTC的案件連結,有興趣的人可以再去網站上閱讀:

Equifax資料外洩案:

2017年時的Equifax資料外洩案十分有名,由於它是一家跨國消費者信用調查的公司,所以儲存了大量的美國、加拿大、英國人民的個人資料、財務與金流資訊,被評估會讓這些被資料外洩的受害者可能會遇上身分被竊取、詐欺等事件。

經過調查, 在這次的資料外洩案中有 1.47 億人的個人資料被外洩,在去年12月與美國FTC、消費者金融保護局、和一些美國地區達成和解,在和解協議中,需要支付4.25 億美元給受到資料外洩案影響的人,到2026年之前,美國的消費者透過特定的網站,每年可以取得7份免費的信用評估報告,另外,受害者也可以在特定期間內,針對因受到身分被竊取、詐欺的而影響,要求賠償需要恢復身分所花費的時數及費用,每小時賠償25美元,最多20小時。

對於常常接到電話詐騙、在公共場所大聲報出自己身分證號碼的台灣人來說,可能不覺得有什麼,但從2017年關注這個事情到現在,我想美國人對於因資料外洩而導致身分被竊取、詐騙,實在是謹慎且處理方式完整許多。

連結:Equifax Data Breach Settlement

Drizly 資料外洩案

資料外洩的案子常在網路上出現,看到後來我常常都麻木了。2018年還有萬豪酒店集團的資料外洩案、國泰航空的資料外洩案、四大會計公司輪流出包把客戶的財務資料存在雲端系統,還把帳號密碼未經加密就寫在某個公開的服務裡。

2018年對我來說幾乎是資料外洩案爆發的一年,但對長期服務於資安領域的人來說,這些都不是新案。

美國的 Drizly 是 UBER 所經營的一個販賣及運送含酒精飲料的網站,他們使用了Amazon的雲端服務,在上面儲存了消費者的電子郵件位置、郵務地址、電話號碼、單一裝置識別碼(Unique Device Identifier,UDID)、地理位置資訊和從第三方網站購買的資料。

2018年時,Drizly的工程師天才的把登入雲端服務的帳號和密碼放在 Github 裡,被有心人士取得帳號密碼後,登入雲端服務,並且用他們的服務來挖加密貨幣。Drizly知道後馬上更改登入的資訊,並發表公開聲明表示會有完善的保護措施。結果2020年,也就是2年後,又被駭客駭入其中一名員工的帳戶,並外洩250萬筆消費者的個資,並在暗網中的兩個網站被販售。

美國FTC最後的處罰命令是要求 Drizly 銷毀資料,並限制他們收集消費者的個資,要求這家公司指派專門的高階主管來處理資訊安全,並且設立不同等級的權限,而員工在登入資料庫、網站管理端時要採用多因素驗證(MFA)來認證身分。

讓我印象最深刻的則是對Drizly執行長個人的處罰:在FTC公布處罰命令的10年內,這位執行長如果離開Drizly而去其他任何一家收集超過 25,000 筆個資的公司任職,可能是擔任大股東、執行長或負有資安責任的主管時,FTC的執法命令都會跟著這位前執行長,他之後任職的公司都需要在180天提供完整的資訊安全計畫。

連結:FTC Finalizes Order with Online Alcohol Marketplace for Security Failures that Exposed Personal Data of 2.5 million People

我想很多人一聽到資料外洩都會想到個資法、資安法這些台灣既有的法律,更或是直接拿歐洲的GDPR來看這個事情,台灣最經典的案例是2007年博客來網站販售金馬獎票券卻發生消費者資料外洩的事件,雖然發起了集體訴訟,但最後的賠償金額並不高。

台灣人沒有興訟的文化,也喜歡以和為貴,在管制程序及政治文化上都不太一樣,所以後續大大小小的網路服務、網站出現資料外洩時,可能還要先找到對的主管機關才能投訴,或是一般民眾不熟悉、也不想了解投訴的流程,被資料外洩的人也是雙手一攤,要自己小心。

台灣這次的資料外洩事件在網路上流傳開來,有人建議要換信用卡、換身分證。由於台灣要更換身分證號碼的條件嚴謹,涉及的公共服務層面非常廣,也沒有任何法規依據讓台灣人民在遇到身分被竊取時的後續處理方法,相信不會因為這個事件讓受害者去更換身分證號碼,所以換身分證應該是很難成功,但應該是可以剪卡,避免信用卡被盜用。

這件事可以從兩個方向來思考:

  1. 外洩資料的公司要做哪些補救措施?有沒有可以協調的空間?我不建議一下就用法規去處罰,這只會讓受害的公司更不願意即時公開資訊及討論補救措施。
  2. 建立對被外洩資料的消費者、網站使用者、資料主體的補救措施。像是如何建立報案的管道、如何認定報案者是因為這個事件而被竊取身分或遭受詐欺?如何讓受害人證明自己的身分?重建身分需要哪些主管機關、單位配合?有沒有讓消費者、資料主體主動控制自己資料留存在哪些網站或服務、單位的方式或工具?如果消費者受到損害,決定要進行訴訟時,有哪些管道?有沒有相關的依據?這些都是可以去思考的。

台灣未來能否面對個人身分資料外洩時,協助企業訂出保護措施、保護消費者避免遭到身分被竊的風險,也許要看相關的主管機關 (哪個部會?)的處理意願吧?

當然獨立自強的台灣人也不妨想想,當自己的「身分」被竊取時,要如何證明「我是我自己」,當所有的「身分」、「頭銜」都喪失時,我又是誰?


Image by Mohamed Hassan from Pixabay

留言

此網誌的熱門文章

線上參與 APrIGF 2023 的一些筆記

Photo credit:  Adli Wahid 雖然去年在新加坡已經有實際會議,不過去年和今年也是以個人身分線上參與,節省個人差旅支出,也能把握時間在思考議題上。今年的主題「Emerging Technologies – Is Asia Pacific Ready for the Next Phase of the Internet?」討論的內容比較偏向呈現亞太地區的觀點,在發展與應用新興科技之下,如何重視包容與人權相關的議題,免不了會以今年最熱門人工智慧(AI)為主要的討論核心。 最棒的是今年聯合國IGF也接著在 APrIGF 後還有一個一整天的 Parliamentary Track,這則是接下來10月在日本京都的聯合國 IGF 會議呈現亞太觀點的討論內容。由於是亞太地區的觀點,所以也難免會提到多元文化、經濟發展、地緣政治的影響以致於各國、各區域的發展情況不一。 以下的內容中英夾雜,有興趣者可以自己再用機器翻譯。 一些很有用的網站 全球科技政策匯集網站 The Global Tech Policy Atlas 由澳洲國家大學政策設計研究中心的研究人員以人力搜集全球科技政策的網站,台灣也在收集的對象中。 太平洋地區國家的資料匯集網站 Pacific Data Hub 這裡面的資料對於觀察氣候變遷對太平洋國家的影響十分重要。 Opennet Korea   Open net Korea 是主張網路中立,倡議言論自由的組織。台灣在觀察國際科技政策發展時,多會參考歐盟、美國、英國、日本、新加坡、中國。其實亞太地區的韓國是值得觀察和參考的國家,韓國政府的資料治理政策與法案是值得參考的對象。 參與的場次和回應 從2016年到現在,在會議裡的發言是表達意見的管道之一,但我總在想要如何讓自己的意見不是只有在麥克風前講完就沒有了,我從2020年開始便決定把意見都整理到主要的文件裡。APrIGF會議後會將意見整理為一份意見書( Synthesis Document ),並在聯合國 IGF 裡表達亞太區的主張和意見。我不是每一場參與都能馬上產出意見,以下把自己有產出的內容也貼來這裡備份。 AI in Asia-Pacific: Charting a Path for Responsible Innovation In my observation, several Western

和 AI 工作三個月的感想

在 ChatGPT 在台灣開始流行後,我和它一起工作了大概 3 個月的時間。這段時間裡有許多出現如何監管、治理AI的文章、也有不少教學、像是有不少如何下關鍵字使它協助你工作。這篇文章純粹以一個使用者的立場來分享,這段時間我與 ChatGPT 一起工作的感想,而不是告訴你怎麼治理它或是如何使用它。 這 3 個月裡如何與 AI 一起工作? 因為我的工作知識涉及的領域不止在網路科技,但網路科技卻是我的所有工作範疇的基礎,網路治理是我的入門磚。 在 2 月底 3 月初時,有一份工作內容是聽 12 場研討會的錄影並摘要,原本我們擔心不了解法庭程序、法律用字、各國的法規和習慣不同,但第一個問題是,怎麼有效率的把錄音裡的話語解釋出來?。後來長官提出了一個方法,有沒有可以聽打字幕的工具?把字幕擷取出來,再翻譯成中文,然後再修改?於是我想到 ICANN 會議、IGF 會議所使用的即時字幕工具,但後來又找到了 Web Captioner 。這是許多 YouTuber 會使用的字幕工具。 也許有人會說,這目前市面上有很多錄音筆可以做到這件事了?我要說的是,如果你面對的是不同國家口音、用字習慣、法律用字、法庭程序,錄音筆能否做到同樣的能力?我沒有實際測試過,但 Web Captioner 已經協助減少初期工作的一項負擔,後續的工作完全要依賴這個第一步,不然沒有辦法接下去。 有用過 Google Translate 的人都知道,它最多就是「堪用」而已,你丟什麼給它,它也就回饋你什麼。就是照字面翻譯,沒有上下文的脈絡,當然後續還很多很好用的翻譯工具,但就便利性來說,Google Translate 的便利性還算是高的。 直到 ChatGPT 出現,我從 3 開始用,再到 3.5版,然後付費使用 GPT 4 和一些外掛工具,它開始讓我感受到身為人的限制、受到體力的限制,還有機器學習的快速,更重要的是,它讓我思考如何去問問題。 基本的翻譯工作在 GPT 3 就已經到90%的滿意程度,那個時候我還擔心 Web Captioner 的文字擷取能力會受限於講者的口音,所以我還是會聽著錄音做即時聽打,以使要翻譯的文字檔更完整。一場 90 分鐘的專家討論需要 4 個工作天全力投入才能翻譯、整理完畢,但如果是一個可以講美式或英式英語的講者的專題演講,只要速度不快,大概 1.5 個工作天就能處理完畢。 GPT

為什麼我支持《數位中介服務法》草案

在經歷許多次反抗台灣政府所立的網路相關法案後,我其實沒想過除了《數位通傳法》草案外,我還會再支持另一部法律草案,雖然 《數位通傳法》草案還壓在某處,但如果有人讀過《數位通傳法》的草案,再讀這部《數位中介服務法》草案,就會知道這部草案的重要性,而且也可以顯示台灣網路使用者的成熟度,更重要的,這是我第一次看到引入國際網路治理多方利害關係人機制的法律草案,而且是用在正確的地方。 有興趣想知道我在讀法條時的筆記和當下的感想,可以看我這則  Tweet 。這篇不使用逐條讀法條的方式來寫,因為那會讓人昏昏欲睡,我也不去比對歐盟《數位服務法》,因為我在讀《數位服務法》草案時,該草案特別強調是加強歐盟 E-Commerce Directive  ,而不是取代它,而且更多著重在預防盜版、仿冒,保護消費者的法案。所以當有輿論提到參考自《數位服務法》的《數位中介服務法》草案限縮言論自由時,我其實是一頭問號的,但一直到今天我才有時間讀《數位中介服務法》草案,這篇文章出自於我的個人經驗和閱讀法案的心得,與擔任的職務無關。 如果最近注意一下網路的資訊,有幾件事該注意一下: 有許多人在社群平台,如Facebook或是其他網路看到一些廣告,而這些廣告可能是要你支持台灣農產品、台灣製的產品,結果你收到時,上面還寫著簡體字,通常這是所謂的一頁式廣告詐騙,而行政院的消費者保護會在 2019 年時就有新聞稿在警告「 一頁式廣告詐騙多 小心查證保障多 」,之後像公視或是其他單位都有相關的活動在提醒大家小心這類廣告。但目前這些廣告其實多數不易處理,因為不容易取證、保留證據,等到追查到時已經找不到對方了。 有不少親密照片與影片在情侶分手後,被報復性的上傳到情色網站或透過即時通訊傳到親友的帳號裡,或是被洩露個資,遭到公開的霸凌。 之前有一個專題:「 青春煉獄:網路獵騙性私密影像事件簿 」,光是讀完這個專題報導我就覺得受傷。 有人使用 Deep Fake 把台灣名人的臉部照片合成至色情影片再上傳至色情影片平台,今年 7 月才被判刑。 還有許多創作者藉由網路分享作品時,被人盜用,甚至有國外的使用者修改台灣人的作品去參與比賽還獲獎。 有一次打電話問某個部會,如果消費者在國外電子商務平台買東西,但資料被外洩怎麼辦?雖然政府願意協助,但衡量至國外打官司的時間和成本,就會讓人卻步。 有些行為在現實世界裡有法可管,例如《兒童與