HKCERT：全球160億組帳戶密碼外洩 香港暫無受影響

香港網絡安全事故協調中心（HKCERT）就近日國際報導的大規模資料外洩事件發出警示，全球累計超過160億組帳戶密碼資料的文件於網上被公開，資料涵蓋多個常用網絡服務平台如 Facebook、Google、Apple、GitHub、Telegram 等主流服務。據了解，有關數據並非來自近期大規模入侵，而是將過往由資訊竊取惡意程式取得的帳戶密碼資料重新整合而成的資料庫。

目前未有證據顯示涉及香港用戶或機構資料，HKCERT 亦暫時未收到任何本地用戶或機構就今次外洩事件的事故報告。HKCERT 會繼續密切監察事件的影響。儘管本地風險暫未浮現，黑客可利用這些資料進行釣魚、盜用帳戶、身份盜竊、勒索軟件及商業電郵詐騙等攻擊，HKCERT 強調主動防護個人資料刻不容緩，呼籲市民與企業立即採取行動。

HKCERT 緊急防護建議：

事件反映良好網絡保安習慣及定期管理帳戶憑證的重要性。有鑑於事件規模及潛在威脅，HKCERT 建議用戶及機構採取以下措施：

• 採納零信任安全架構：機構應積極推行「零信任」安全策略—無論用戶或裝置身處內部或外部網絡，均不應自動信任，必須驗證身份、實施最小權限原則及持續監察異常活動。

• 定期更改密碼： 定期為所有重要帳戶更改密碼，並避免多個帳戶共用同一密碼。

• 啟用多重認證（MFA）：為主要帳戶加設多重認證，提高安全層次。

• 重新登入裝置：部分外洩資料包括登入 Cookies 及 Session Tokens，或可繞過雙重認證。建議用戶登出所有活躍裝置及重新登入，以減低風險。

• 監察帳戶活動： 定期檢查帳戶有否異常登入，並在懷疑被盜時登出所有裝置。

• 警惕釣魚攻擊： 小心處理可疑電郵、訊息及來電，切勿輕易提供個人或登入資料。

• 使用密碼管理工具： 產生及儲存強而獨特的密碼。

• 檢查裝置安全： 為電腦及手機進行全面防毒及惡意程式掃描，移除潛在威脅。

• 緊貼資訊保安消息： 關注 HKCERT 最新保安警報及最佳實踐建議，獲取即時威脅通報。