國泰航空外泄約940萬位客戶個人資料。資料圖片
國泰航空外泄約940萬位客戶個人資料。資料圖片

國泰外泄九百多萬客戶資料令港人震驚,但事件僅冰山一角。近年「暗網」(Dark Web)有如「私隱特賣場」,多個介面有如淘寶的暗網,只要輸入關鍵字,即可找到大批可供出售的電郵、密碼、證件號碼等個人資料,以信用卡資料為例,每張索價四十至四百元,資料愈齊愈新,叫價愈高。亦有黑客提供勒索軟件及殭屍網絡,如買家不懂操作,可另購升級服務,由專業黑客傳授秘技。網絡專家形容,暗網助黑客組成完整的詐騙產業鏈,擁有大量客戶資料的零售及電訊業,均為黑客覬覦的獵物。

記者郭增龍 林紫晴

最近國泰航空外泄約九百四十萬位客戶個人資料,數量之多固然令人震驚,但事隔半年始公布事件更令公眾不安,擔心個人私隱經網絡黑市「暗網」四散,日後成為黑客騙財或詐騙的工具。私隱專員公署昨日更表示,相信國泰違反法例規定,故決定展開循規調查。有不願具名的網絡專家透露,數年前嘗試經暗網購買港人護照資料,形容過程簡單,「我輸入China及passport,便搜出數十個結果,輕易購入相關資料。」

介面如淘寶 輸入關鍵字搜尋

暗網屬被隱藏的網絡空間,一般用戶不會發現其存在,部分更要使用指定軟件方可登入。香港新興科技教育協會會長洪文正形容,暗網獨特的入口猶如金字塔的秘道,並不時更新入口位置,「表面上是一個空白畫面,但只要拉到頁面最右或最下位置,便會有一個特別網址,可連接暗網。」

通過隱藏的入口後,暗網有如地下超市。香港互聯網協會網絡保安及私隱小組召集人楊和生認同,暗網的介面與淘寶、Amazon等網購平台相似,更會將貨品及服務分門別類,只要輸入關鍵字,即可找到不同的個人資料及病毒軟件。他昨日瀏覽其中一個海外運作的暗網時發現,與身分證及護照相關的貨品共有一千二百多個,黑客病毒軟件則有逾七百八十個。

八十元可買17萬電郵地址

他再利用該網的搜尋引擎輸入Hong Kong一詞,便找到多名聲稱可出售來自香港電郵資料的賣家,涉及多達十七萬個香港電郵地址,折合約八十港元,「相信只有電郵地址,所以售價較便宜。」他續指,由於暗網採取不記名交易,故近年已由Paypal轉為使用Bitcoin等虛擬貨幣付款,網站更設有與美金、歐羅等兌換率,方便計價。

暗網有如黑客平台,讓黑客交易盜取的資料,集合成足以牟利的資料庫。趨勢科技港澳區顧問總監李浩然指出,暗網出售的個人資料分類仔細,簡單由姓別、電話、電郵、住址、證件號碼,甚至是信用卡號碼連認證碼,電郵地址連密碼等詳細資料,「假設黑客有五百元美金,他可以選擇買五個人的完整資料,集中攻擊,或者買一萬個曾向勒索軟件繳交贖款的電郵地址,博這些人會再交贖款,分散投資。」

資料分類細 提供殭屍網絡

除了個人資料外,李浩然表示,部分精於製作勒索軟件及釣魚網站的黑客,亦會在暗網出售黑客軟件,供買家使用,如買家不懂操作,更可以加錢購入升級服務,由專人教授使用方式;亦有黑客可提供殭屍網絡,讓執法部門難以追蹤攻擊來源。一個暗網可包含個人資料、惡意程式及黑客工具,有如完整的詐騙產業鏈。

眼見情況愈見猖獗,國際間近年積極合作打擊暗網。去年七月,由美國聯邦調查局及荷蘭國家警察局主導的行動,成功關閉AlphaBay與Hansa兩大暗網市場。根據美國司法部的資料,當時成立兩年多的AlphaBay共吸引四萬名賣家及超過二十萬名買家,當時網站陳列的被竊個人資料、惡意程式、黑客工具、軍火或詐騙服務等超過十萬個。

假扮公司夥伴 訛稱改交易戶口

然而,暗網「一雞死一雞鳴」,難以杜絕。李浩然亦指出,一旦黑客取得同一人的完整電郵資料,除了可以出動勒索軟件外,更可調查其網上購物習慣,甚至假扮成經常有電郵聯絡的公司夥伴,冒認身分傳送電郵,訛稱更改交易銀行戶口號碼,令對方防不勝防,以國泰事件為例,如外泄資料涉及不少公司高層,將會令商業電郵詐騙數字大增。

國泰資料外泄事件絕非孤例,去年已有多家本地旅行社遭黑客入侵,涉及逾三十萬客戶資料。香港零售科技商會副會長梁偉峰指出,黑客會先尋找系統的缺口,包括沒有定期更新的電腦系統、保安防備門檻較低的部門等,「黑客一定會選擇最弱的一道門,例如是供應鏈中的系統接駁缺口、接待或顧客服務部等,成功入侵的需時較短。」SSH亞太區副總裁何思聰指出,零售店、網購平台及電訊商存有大量客戶個人資料,容易成為黑客目標。

執業大律師陸偉雄相信,暗網的運作或涉及非法勾當,交易者若通過網絡或電腦,非法獲取他人的個人資料,屬有犯罪或不誠實意圖而取用電腦,最高可被判監禁五年。他續說,在未經資料提供者的同意下,於暗網出售相關資料,有機會觸犯披露未經資料使用者同意而取得的個人資料罪行,最高刑罰為罰款一百萬港元及監禁五年。

全文刊《星島日報》