大型连锁超市Save-On-Foods惊传个资外泄

【星岛综合报道】加拿大西部大型连锁超市 Save-On-Foods 发生资安事件，会员个人资料遭未经授权存取。业者已通知旗下 More Rewards 会员，提醒民众提高警觉，慎防钓鱼邮件及诈骗讯息。

CBC报道，Save-On-Foods表示，10月13日发现旗下其中一台服务器出现未经授权的活动，随即迅速控制状况，并委请资安专家展开调查。随后，业者于星期五向 More Rewards 忠诚会员计画的用户发送电子邮件，通知相关个资可能遭到存取。

通知信指出，此次事件涉及会员个人资讯。收到通知的会员，其姓名以及在注册时提供的地址、电话号码、电子邮件地址和出生日期，都可能遭到未经授权的存取。

业者尚未公布受影响人数。

Save-On-Foods 规定，透过网络购物的顾客须加入 More Rewards 会员计画。该计画也提供会员专属的店内折扣优惠。

业者在通知信中表示，根据目前掌握的资讯，信用卡资料、帐户密码等其他个人资讯并未遭到存取。不过，相关调查仍是此次事件的重要环节。

加拿大网络安全中心（Canadian Centre for Cyber Security）提醒，个人资料即使未直接涉及银行帐户或信用卡，也可能被犯罪分子利用，制作更具迷惑性的钓鱼讯息。

诈骗者可能冒充民众熟悉的企业或可信赖的机构，诱骗受害者提供更多敏感资讯，甚至汇款。

西门菲沙大学国际网络犯罪研究中心主任 Richard Frank 指出，许多网络入侵事件都是犯罪分子伺机而动所致。

他表示，犯罪分子经常利用企业员工不慎点击恶意连结，或下载含有恶意程式的档案等方式，进入企业内部网络。

一旦成功入侵，犯罪分子便可能进一步摸清企业网络架构，找出可窃取并借此牟利的资料。Frank 指出，会员忠诚计画所掌握的个人资讯，通常已足以让诈骗者设计出相当逼真的诈骗手法。

他解释，犯罪分子可能利用外泄的个资，假冒企业发送电子邮件，要求收件人提供更多资讯，或诱导对方点击恶意连结，进一步窃取身分资料、银行帐户资讯或信用卡资料。

这些更敏感的资讯，之后可能被用于网络商店的诈欺交易，甚至在暗网相关市场中遭到利用。

事件曝光后，加拿大卑诗省及亚伯达省的 Reddit 社群出现不少网友讨论。有民众对部分折扣及会员制度要求消费者提供个人资料表达不满，质疑这类资料可能被企业用于商业交易，也可能让消费者成为网络犯罪的目标。

另有部分网友发文表示，收到业者通知后尝试更改密码，却反复遇到系统错误。不过，相关情况目前来自网友分享，尚无法据此确认是否为普遍性的系统问题。

Save-On-Foods 已提醒 More Rewards 会员，务必留意可疑电话、电子邮件及短信。业者强调，不会透过任何通讯要求顾客提供帐户密码、银行资料、付款资讯、社会保险号码（SIN），或安全问题的答案。

Save-On-Foods 也向 CBC News 表示，已将事件通报相关主管机关及隐私监管单位。

v01