（2026.11.03，新加坡）近期国际多家企业及超市系统接连遭骇客攻击，部分事件涉及客户资料外泄，再次引起外界对网络安全的关注。新加坡个人理财网站MoneySmart也证实，上周遭骇客入侵内部电脑系统，部分新加坡及香港客户的个人资料被复制，可能涉及身份证号码、收入范围及金融产品信息等。
与此同时，电子产品及家具零售商Courts因2022年遭勒索软件攻击，导致近95万名客户及员工的个人资料受到影响，近日被新加坡个人资料保护委员会（PDPC）罚款17万8000新元。这也是Courts自2019年以来，第三次因违反个人资料保护义务受到处罚。
虽然MoneySmart和Courts事件发生时间不同，性质也有所区别，但都反映出企业在储存和管理大量客户资料时面临的网络安全挑战。随着消费者越来越依赖数码平台购物、申请信用卡、贷款及保险，如何妥善保护客户的个人信息，已成为企业不能忽视的责任。
MoneySmart客户资料遭复制
据《海峡时报》报道，MoneySmart于11月3日向受影响用户发送电邮，通知他们公司在10月29日发现未经授权的第三方入侵部分内部资讯科技系统，而这些系统储存了消费者通过平台比较或申请金融产品时提供的个人资料。
MoneySmart提供信用卡、个人贷款及旅游保险等金融产品的比较与申请服务，因此受影响的信息不仅涉及客户身份，也可能包括收入状况及金融产品记录。公司证实，部分新加坡及香港客户资料已遭复制，可能涉及姓名、出生日期、国籍、身份证号码、电邮地址、手机号码及收件地址。
此外，客户的收入范围、目前所持有的金融产品，以及车辆资料和汽车保险查询或保单等等信息，也可能受到影响。由于这些资料涉及个人身份与财务状况，一旦落入不法分子手中，可能增加身份冒用及针对性诈骗的风险。
MoneySmart尚未公布受影响客户人数，但表示正直接联系有关用户，说明哪些资料受到影响，并提供相应的安全建议。
公司创办人兼首席执行官维诺·奈尔（Vinod Nair）表示，发现事件后已立即阻止未经授权的访问，并采取措施保护系统，同时聘请独立网络安全及数码鉴证专家调查事故原因，以防止类似事件再次发生。
MoneySmart已向新加坡个人资料保护委员会、金融管理局（MAS），以及香港个人资料私隐专员公署和保险业监管局通报事件。个人资料保护委员会证实正在调查，公司则强调，平台业务目前照常运作。
维诺·奈尔也向受影响客户道歉，表示用户信任MoneySmart处理与个人财务生活有关的信息，公司对此负有重大责任，并将全面检讨事件原因及改善现有安全措施。
Courts备用服务器成漏洞
MoneySmart事件仍在调查之际，Courts则因数年前发生的网络攻击收到罚单，凸显企业即使没有证据显示客户资料被公开外泄，仍可能因网络安全管理不足而承担法律责任。
根据个人资料保护委员会8月11日作出、10月26日公布的裁决，Courts于2022年9月遭勒索软件攻击，涉及94万6972人的个人资料，包括94万1513名客户，以及5459名现任、前任和潜在员工。
客户受影响的资料包括姓名、身份证号码、住址、电话号码，部分还涉及信用卡号码最后四位数字；员工资料则包括银行账户及信用状况等较敏感的财务信息。
调查发现，骇客是于2022年9月21日前后，通过Courts用于系统故障后恢复业务的备用服务器进入公司网络，其中两台服务器可以通过互联网访问，成为攻击者寻找系统漏洞的入口。
骇客多次尝试进入系统，并通过尚未查明的方式取得系统管理员的登录凭证，随后利用备用服务器与其他内部系统之间的连接，进一步扩大攻击范围。攻击者最终在26台服务器安装勒索软件，导致其中20台服务器的资料全部或部分遭加密。
Courts于9月26日前后发现恶意软件，并在10月1日收到勒索要求，对方要求支付赎金，以换取恢复加密文件的密码，但公司没有回应。
事件发生后，Courts隔离受影响服务器，利用未受感染的备份恢复系统，并安装安全更新及加强访问权限管理。
不过，调查没有发现受影响资料被转移出Courts系统的证据，公司随后连续12个月监测互联网及暗网，也没有发现相关资料遭公开披露的迹象。这与MoneySmart已确认部分客户资料遭复制的情况有所不同。
个人资料保护委员会认为，Courts虽然采取了事后补救措施，但在攻击发生前未能落实基本网络安全管理，尤其没有定期检查备用服务器是否存在漏洞。
Courts原本认为，这些服务器并非日常业务使用的关键系统，因此没有将它们纳入定期安全漏洞扫描范围，但监管机构不接受这一解释，因为备用服务器与储存大量个人资料的其他系统相连，一旦遭入侵，便可能成为骇客进入内部网络的通道。
此外，两台可以从互联网访问的备用服务器，自2022年7月6日起便没有安装最新安全更新，其他部分服务器仍使用微软早在2020年1月停止支持的Windows Server 2008操作系统，进一步增加遭攻击的风险。
这已是Courts自2019年以来第三次因违反个人资料保护义务受到处罚。2019年，公司因网站漏洞导致客户电话号码及住址可能被他人查阅，被罚款1万5000新元；2020年又因会员电邮链接出现问题，使收件人能够在未经身份验证的情况下访问其他会员账户，被罚款9000新元，涉及7万6844名客户。
个人资料保护委员会指出，Courts在此前两次受罚后，仍未落实安全审查及系统更新管理等基本措施，因此有必要提高罚款，以加强阻吓作用。Courts接受裁决，并向受影响客户及员工道歉，表示已加强网络安全措施，聘请专业机构调查事件及检讨受影响资料。
公司已通知财务资料遭未经授权访问的员工，但评估客户受影响资料不太可能造成重大损害，因此没有向客户逐一发出通知。
数码服务普及 企业不能忽视资料保护
两起事件虽然性质不同，却涉及新加坡消费者日常生活中经常使用的服务，无论是购买家具电器，还是通过金融平台比较信用卡、申请贷款或保险，消费者都可能需要提供姓名、身份证号码、联系方式及其他个人资料。
这些信息单独看来或许只是一般客户记录，但若被不法分子取得并结合使用，便可能增加身份冒用、诈骗及网络钓鱼的风险，尤其涉及收入状况和金融产品资料时，更可能被用于设计针对特定用户的诈骗手法。
MoneySmart事件目前仍在调查，尚不能确定资料外泄的完整范围，以及是否会造成进一步损害；Courts事件则显示，即使没有证据证明资料已被转移或公开，企业仍可能因为未采取合理的安全防护措施而受到处罚。
对企业而言，资料保护不只是防止骇客进入主要业务系统，也包括定期检查备用服务器、及时更新软件、限制系统访问权限，以及确认不同系统之间的连接不会扩大攻击范围。
对消费者而言，收到企业的资料安全通知后，应留意银行及其他账户是否出现异常活动，对要求提供密码、一次性密码或金融资料的可疑电邮和短信保持警惕，并通过企业官方渠道核实通知内容。
随着购物、金融服务和日常交易越来越依赖数码平台，企业掌握的个人资料也持续增加。MoneySmart最新发生的客户资料遭窃事件，以及Courts在两度受罚后仍被发现存在基本安全管理漏洞，反映资料保护不能只依赖事后补救，而必须成为企业日常营运和风险管理的一部分。
