讀者投稿

「我的愛心被駭客利用了!」個資外洩風暴下,公益團體的重建信任之路
對非營利組織而言,捐款資料從紙本到數位的轉換期,考驗了內部是否將資安維護納入組織重點工作。(示意圖,非文中指涉團體)

文字大小

分享

加入書籤

「我接到詐騙電話,我的個資被外洩了!」近年來,各大公益團體被駭客盯上,捐款資料屢屢外洩,近百通的客服電話如排山倒海而來。才剛挺過COVID-19效應考驗的公益團體,好不容易疫情趨緩,卻碰上資安意外,經營更是雪上加霜。

從1964年開始,台灣世界展望會(以下簡稱展望會)每年募集無數台灣民眾的愛心,救援全球緊急災變地區及關注台灣貧童,至今已有近60個年頭。但誰也沒想到,長期致力於慈善事業的展望會,竟會成為詐騙集團眼中的目標。

打開警政署165全民防騙網,刑事局每週公布的高風險賣場名單
當刑事局165專線接獲單一賣場或組織單週發生5個受騙案件,便會將賣場或組織列入高風險賣場名單。
中,除了常見的電商平台,近日,還可以發現身為非營利組織的展望會也在榜上──從2022年8月至12月底,已被點名11次。從網路購物商城到公益團體,只要透過網際網路進行交易行為、金錢往來,都有可能遭受個資外洩的風暴牽連。
捐款人個資外洩,服務對象也受衝擊

去年(2022)8月某個平常的日子,展望會突然接到大量捐款人的電話。一開始僅是幾通零星的反映,爾後數十通電話接踵而來,短短一週內,展望會的客服人員接獲不少捐款人反映接到詐騙電話,有些電話是善意提醒要注意個資外洩狀況,有些則打來表示要暫停捐款。

「我們會在官網上公告,何時會進行官網維修,請大家不要在這時段捐款,詐騙集團就會趁勢打給捐款人說:『由於我們官網維修,所以你可以透過電話,或我們提供另一組帳號給你,進行捐款。』」展望會公關傳播處處長王怡雯無奈道出,從捐款人接到詐騙電話的過程,可以發現詐騙集團是如何密切緊盯展望會的一舉一動。

Fill 1
世界展望會公關傳播處處長王怡雯,無奈道出個資外洩如何傷害捐款人對組織的信任。(攝影/劉以羚)
世界展望會公關傳播處處長王怡雯,無奈道出個資外洩如何傷害捐款人對組織的信任。(攝影/劉以羚)

個資外洩事件發生後,有部分展望會捐款人因此選擇停捐。對長期仰賴捐款的非營利組織而言,「停捐」是極大衝擊,連帶影響的是,背後每個需要支持的脆弱家庭或身處人道危機的孩童。

在會議室的牆上,一位穿著原民服飾、帶有陽光笑容的小傑,是展望會長期資助的對象,看著牆上小傑的燦笑,王怡雯既生氣又無奈地說:

「這些駭客盜取資料,展望會員工承擔大量客服就算了,為什麼最後是我們服務對象要承擔這些?」

談起停捐對受助者的影響,她一度哽咽。

同樣是非營利組織、長期仰賴大眾捐款,成員約500人的心路基金會(以下簡稱心路),也是詐騙集團相中的目標。心路近5年每年捐贈收入均超過新台幣1億元
心路基金會近5年的捐贈收入:110年度為1億5,810萬4,750元、109年度為1億4,064萬7,376元、108年度為1億2,672萬3,682元、107年度為1億2,582萬4,682元、106年度為1億1,552萬428元。
,2022年6月1日,心路辦公室的電話此起彼落地響起,那一天,近百位捐款人打電話告知心路:我們接到詐騙電話。

電話那頭,假冒為心路工作人員的詐騙集團,會先跟捐款人說出他們在心路每月定期捐贈的金額,由於設定錯誤導致被多扣錢,並警告民眾「今天晚上12點之前如果沒有更改、調整的話,之後就要被扣款」,部分捐款人聽聞後感到緊張,便聽從詐騙集團指令,一步步踏入詐騙集團的圈套。

經費有限,資安防護成非營利組織共同難題

心路公共事務部主任劉又綺坦言,駭客登入後台系統的帳號密碼,取得民眾的捐款資料,讓他們意識到內部使用的資訊系統過於老舊,存在資安漏洞卻不自覺。

Fill 1
心路基金會公共事務部主任劉又綺坦言,個資外洩事件讓他們驚覺組織存在資安漏洞。(攝影/羅思涵)
心路基金會公共事務部主任劉又綺坦言,個資外洩事件讓他們驚覺組織存在資安漏洞。(攝影/羅思涵)

個資外洩事件發生後,對心路的捐款造成很大衝擊。劉又綺說,事件之前,心路每月收到的捐款數額長期呈現上升趨勢;但事件發生後,定期定額的捐款數目開始往下掉。相較過去,每月損失約10萬元、200位民眾停止捐款,這個狀況到目前為止仍持續發生中。

「他們是每個月捐100或200元,就這樣捐了20年、30年,這些長期捐款人會選擇取消捐款,(是因為)他們認為,我們個資並不是很安全。這件事,也提醒我們在資安上要做得更好。」劉又綺娓娓道來個資外洩事件後的反省,縱使心路足跡遍布全台,但組織內部的資訊技術(IT)人力卻相當吃緊,僅有3人的IT部門要撐起整個基金會的資安技術,亦是一大隱憂。

相較於展望會與心路,組織規模較小、內部員工約110人的台灣關愛基金會(以下簡稱關愛)同樣碰上個資外洩事件。關愛所使用的系統,是由長期提供非營利組織系統服務的網軟所負責。2021年,網軟曾發生遭駭客攻擊事件,使得許多使用該公司服務的非營利組織,其捐款人個資也慘遭外洩。

關愛副執行長馮一凡表示,2021年網軟發生遭駭事件時,關愛未接獲有捐款人遭詐騙的消息。直到2022年8月28日,有捐款人透過Facebook傳送訊息表示,他接到以關愛基金會名義要求民眾提供銀行帳戶的電話,他們驚覺:「輪到我們了!」馮一凡解釋,詐騙集團在電話中向民眾通知的內容,不外乎就是「定期捐款設定錯誤需要解除,因此請民眾提供銀行帳戶」,與其他非營利組織遭詐騙手法雷同。

資安維護的費用有一定門檻,以募款為主的非營利組織,需要將捐款花在刀口上,抱著「夠用就好」的心態投入資安維護成本,確實是將捐款人的個資暴露於風險之中。如何在有限的經濟考量下,竭力做好資安防護,是許多非營利組織共同的難題。

啟動應變:安撫捐款者、員工電腦資安升級

心路在接獲捐款人致電後,隨即向165反詐騙專線報案,並同步透過官網、簡訊和電話方式,通知所有捐款人反詐騙資訊並提醒小心上當。捐款人來電時,心路亦建立雲端表單記錄電話內容,以便做到後續追蹤及定期確認受害人狀況。劉又綺表示,「我們能做的就是陪伴、安撫,」竭盡所能在個資外洩事件發生後做補強。

除了安撫捐款人的情緒,心路也在資安公司的建議下,將原本放置在基金會本身主機的捐款資料庫,改放上雲端,借助雲端服務公司的資安管理。心路也進一步了解個資遭外洩的原因,他們發現疑似是員工的電腦遭攻破,駭客取得帳號密碼後登入捐款系統竊取資料。因此,心路內部也訂定法規,針對員工電腦啟用二階段認證,在登入系統階段增加一層防護,並鎖定部分網域,防止員工瀏覽或點閱。

個資外洩事件發生後,展望會隨即成立專案小組,邀請資安專家提供改善建議;另一方面,展望會也要求內部員工電腦系統全面升級,同時讓IT部門的工程師去上資安相關課程,使部門成員建立資安防護的概念。「幾乎是把能做的都做了,」王怡雯道出過去幾個月來,展望會持續在個資外洩上的努力。

在得知組織內部的資料遭外洩後,非營利組織多會立即通知捐款人,並透過各種方式進行資安補救與改善,希望不再擴大漏洞,只是,在非營利組織資源與人力有限的情況下,要如何面對駭客日新月異的攻擊方式?仍是當前所要面對的難題。

面對被駭風險,該如何加強數位防禦?

據展望會及心路表示,在個資外洩事件發生後,他們便收到主管機關衛生福利部的函文,要求組織依照個資防護廠商自評表內部檢核,例如個資外洩原因、是否通知消費者及組織後續作為等,並回覆主管機關。除了回覆這些問題外,深受此次個資外洩震撼的展望會與心路均表示,其實更希望得到主管機關給予個資維護上的具體建議。

面對駭客的強勢入侵,非營利組織必須嚴陣以待。2021年甫成立的應援科技,致力於協助非營利組織建置平台及捐款系統,目前已服務超過100家非營利組織。應援科技執行長蕭新晟提及,在接觸許多非營利組織後發現,相較於商業團體,非營利組織整體數位能力較弱,要從原先使用的系統,轉換到由應援科技提供的新系統時,雙方都需要耗費相當大的溝通成本。

Fill 1
協助非營利組織建置捐款系統的應援科技執行長蕭新晟分享,資安維護並非購買防毒軟體或聘請技術人員就能達成,還應將個資安全納入組織內部的社會責任。(攝影/劉以羚)
協助非營利組織建置捐款系統的應援科技執行長蕭新晟分享,資安維護並非購買防毒軟體或聘請技術人員就能達成,還應將個資安全納入組織內部的社會責任。(攝影/劉以羚)

蕭新晟舉例,之前去協會演講或參加公益團體的活動時,工作人員會在現場發下紙本捐款單,邀請民眾寫下個人信用卡號捐款支持,顯示部分團體的數位能力還相當薄弱。

因應數位時代的來臨,資料數位化是每個組織必然面對的趨勢。對非營利組織而言,最明顯的挑戰莫過於,從紙本到數位的轉換期,同步也考驗到組織內部對使用數位工具的共識,及是否將資安維護納入組織重點工作。若組織內部人員資安概念沒有隨著時代改變,很快就會被取代,甚至淪為駭客攻擊的對象。

他也分享,建立公司或設計產品,並非只是買套防毒軟體、聘請技術人員或資安顧問,就能達到資安維護。將資安維護的觀念與心態內化成工作態度,並將個資安全納入組織內部的社會責任,都是提升內部資安意識的途徑。公益團體也應思考,如果部分個人資料沒有收集的必要性,或許並不用向消費者取得過於詳盡的個資,而取得這些個資的同時,亦須注意這些檔案有無加密等細節,這些都能看出企業或組織的資安意識是否健全。

資安公司如梭世代技術經理郭姿君表示,當他們在協助資金較為缺乏的小型企業時,通常會建議企業「先求有再求好」,先使用低成本或開源軟體的方式提高組織對攻擊事件的識別度,後續再加強組織本身的資安防護;之後也會對員工進行資安教育訓練等課程,提升整體資安意識。

未來課題:對外重建與捐款者的信任關係,對內重整資源分配

「你買東西被詐騙,都不能說你活該了,更何況是捐款,那個感覺會更心痛,」一年多來協助非營利組織處理個資外洩困境,蕭新晟感嘆,民眾都是出於良善的資助,但詐騙集團卻因此利用民眾的良善再去詐騙。

對於展望會與心路等接連在高風險賣場名單中上榜的公益團體而言,捐款贊助通常是組織最大的經濟來源,一旦捐款人取消捐款、暫停支持,不僅組織營運受影響,連同服務工作的資源也會銳減。

王怡雯表示,「曾有捐款人打來告訴我們,他要捐1,000元作為協會個資防護升級的基金。」雖然金額不大,但單筆的特定項目贊助,激勵王怡雯及展望會同仁,要從這次挫折中走出來。

即將在明年迎接創會60週年的世界展望會,數位轉型是他們近幾年著力的目標。解決突如其來的資安意外,究竟只是更新硬體設備,還是提升整體數位意識,都是組織內部使用數位工具的檢核與考驗。

對公益團體來說,信任是捐款人與組織的基石,卻因個資外洩事件頻傳,使民眾不再輕易捐款。建立穩固的資訊安全網,為捐款人把關,並在資訊安全與公益目的中達成平衡,是公益團體在資源分配規劃中皆需面對的課題。

用行動支持報導者

獨立的精神,是自由思想的條件。獨立的媒體,才能守護公共領域,讓自由的討論和真相浮現。

在艱困的媒體環境,《報導者》堅持以非營利組織的模式投入公共領域的調查與深度報導。我們透過讀者的贊助支持來營運,不仰賴商業廣告置入,在獨立自主的前提下,穿梭在各項重要公共議題中。

你的支持能幫助《報導者》持續追蹤國內外新聞事件的真相,邀請你加入 3 種支持方案,和我們一起推動這場媒體小革命。

© 2023 All rights Reserved

有你才有報導者
有你才有報導者

這篇文章的完成有賴讀者的贊助支持,我們以非營利模式運作,

邀請你加入 3 種支持方案,讓報導者能夠走更長遠的路。

瞭解更多

有你才有報導者

這篇文章有賴讀者的贊助完成,我們以非營利模式運作,邀請你加入 3 種支持方案,讓我們能走更長遠的路。

瞭解更多