SOGO、周生生資料外洩｜崇光82萬會員或受影響　方保僑：慎防利用真實資料「精準釣魚」

來電者說得出你的姓名、購物資料，甚至信用卡末4位，也未必是真正客服。崇光百貨（SOGO）及周生生先後披露資料保安事故，其中崇光約82萬名會員的個人資料可能受影響；周生生則涉及部分客戶及員工資料。香港資訊科技商會榮譽會長方保僑提醒，即使未涉及完整信用卡資料，騙徒仍可能利用外洩資訊包裝退款、訂單或會員通知，令「精準釣魚」更難辨認。

兩宗事故涉及哪些資料？82萬是崇光會員人數

崇光的會員資料與周生生的客戶、員工資料，是兩宗不同事故涉及的範圍，不能將「82萬」理解為兩間公司的合計受影響人數。截至目前披露資料，周生生尚未列出涉及客戶及員工的總數。

私隱專員公署於11月12日接獲崇光通報，指事故可能影響約82萬名會員，並已展開調查。崇光表示，本月發現會員系統曾被未經授權人士取得部分資料，涉及部分會員號碼、姓名、聯絡電話、電郵及會員積分資料。

至於周生生，集團於11月9日發現未經授權存取，初步確認受影響系統包括會員系統及官方電子商貿渠道。部分客戶及員工資料可能曾被提取，集團已向私隱公署及警方通報，並通知可能受影響人士。

兩間公司均已展開跟進工作。崇光表示已加強網絡安全監察、異常活動偵測及風險評估；周生生亦已加強系統安全，並委聘網絡安全專家調查。完整影響範圍仍有待後續確認，會員積分資料涉及事故，也不代表已有積分被盜用。

方保僑：直接盜刷風險相對可控　更須提防精準釣魚

資料未涉及完整信用卡號碼，不代表外洩後便沒有風險。香港資訊科技商會榮譽會長方保僑表示，按目前披露內容，涉及資料主要為姓名、電話、電郵及會員積分等，暫未包括身分證或完整信用卡資料，因此直接盜刷風險相對可控；但騙徒若利用這些真實資訊發動「精準釣魚」，仍可能帶來後續損害。

方保僑提醒，接獲自稱商戶或銀行的來電、短訊時，不應因對方掌握個人資料便放下戒心。確認身分應由市民主動進行，透過官方熱線或網站查證，而非單憑對方說得出哪些資料作判斷。他亦呼籲市民不要點擊可疑連結、向他人透露一次性密碼（OTP），或按要求進行「驗證轉帳」。帳戶保安方面，應盡快更改共用密碼，並啟用雙重認證。

未有證據涉及AI黑客　事故成因仍待調查

至於入侵是否與AI有關，方保僑指出，現階段尚無證據顯示兩宗事故與AI黑客直接相關。他表示，這類入侵往往涉及未及時修補漏洞等傳統保安弱點；不過，今次事故仍在調查，不能據此斷定實際入侵原因。方保僑同時指出，現今黑客普遍利用AI加快尋找漏洞及製作逼真的詐騙訊息，企業須加強數據加密與安全審計。這是他對網絡威脅的整體分析，並非確認今次事件曾使用AI。

Source：私隱專員公署回應及防騙指引、香港資訊科技商會榮譽會長方保僑