雄獅旅遊遭駭客網路攻擊，針對近年半顧客資料恐被利用於詐騙示警

近日雄獅旅遊又成駭客網路攻擊受害者，該公司在11月29日於臺灣證券交易所發布重大訊息說明發生資安事件，同時於官方網站公開遭駭一事，並表示已接獲通報，有不法人士假冒其名義、利用半年內訂單資訊進行詐騙，呼籲民眾當心。

根據雄獅旅遊的說明，該公司資安團隊在查知遭受駭客網路攻擊之際，已全面啟動相關防禦機制，委請外部資安公司技術專家共同處理，並已通報政府執法部門協助。

關於這次事件的影響與因應，雄獅在證交所的重大訊息公告中指出，目前評估對公司營運尚無重大影響，將持續加強資訊安全管理，確保資料安全，同時也特別說明，將以公司官網、電話語音及簡訊方式，通知旅客防範詐騙。

而在雄獅旅遊公司網站上，該公司亦於同日發布聲明公告，主要針對公司遭駭一事，以及不法分子冒名雄獅員工去電詐騙民眾一事，提出了更多的說明。

當中除了提到該公司電腦作業系統遭網路駭客惡意攻擊，已經有所因應，目前公司營運及出團狀況均正常，特別的是，他們另外也向購買產品的民眾提醒，要大家防範遭受詐騙。

關於不法分子冒名與詐騙的問題，根據雄獅的說明，他們已經接獲通報，有不法人士假冒成雄獅旅遊員工、飯店員工、以及銀行或信用卡客服人員，打電話給其客戶，並以訂單錯誤、重複扣款、提供特殊優惠等假理由與名義，向消費者進行詐騙。

對於詐騙手法的研判，以及不法資料被利用的情況，雄獅亦有具體的描述，指出不法人士可能利用近半年的訂單資訊，可能包括購買訂飯店、機票、票券、證照時，利用這些訂單上的聯絡人姓名、電話與商品內容，來取信受害者，並以不實理由來詐騙。

從上述內容來看，雄獅在此駭客攻擊事件下，很可能同時發生顧客訂單資料外洩，進而被詐騙人士利用，儘管公告中並未直接明確說明這件事，不過，該公司至少確切提及，這些恐被不法分子利用的近半年訂單資訊，主要是顧客姓名、電話與商品訂單內容，但並未包含旅客信用卡交易資訊。

針對上述不法分子冒名雄獅與詐騙的狀況，我們查詢了刑事警察局165公布的解除分期民眾通報高風險賣場，在最近一周，也就是今年11月21日到11月27日期間，雄獅旅遊已被列入名單之上，排名當週第六，之前幾週則不在此名單之內，這表示最近開始有民眾接到假冒雄獅旅遊等名義的詐騙電話而報案。這也與雄獅旅遊公司網站公布的資訊一致。

過去，雄獅也曾發生遭駭與顧客個資外洩事件，在2017年該公司員工電腦也曾遭駭，造成約36萬筆消費者個資外洩，後續的集體訴訟案則在2020年已調解賠償。

回顧一年來國內顧客資料外洩事件，公開說明比例相當低

從近期資安事件重大訊息來看，過去我們看過不少上市櫃或公開發行公司在臺灣證券交易所公告遭受駭客網路攻擊，但較少會提及通知旅客防範詐騙。最早一例，是今年7月台灣虎航在臺灣證券交易所發布公告，說明遭受駭客網路攻擊事件，並指出已在官方網站張貼「反詐騙聲明」，防治網路詐騙，這次雄獅旅遊也有同樣的狀況。而這樣的舉動，儘管只說明遭駭與防詐騙的情事，但似乎也意味，可能有顧客資料外洩、恐被利用於詐騙的狀況，才需要提醒民眾。這也引發外界憂心，顧客資料是否因駭客攻擊而被竊取？以及顧客資料加密保護是否強度夠高？遭竊取也沒有那麼輕易被利用。

儘管後續台灣虎航未傳出相關詐騙消息，可能只是預先提醒，而這次雄獅旅遊公布資安團隊察覺遭駭客攻擊，說明有接獲通報，指出恐有利用近半年訂單資訊的相關詐騙，但我們更在意的是，還有多少駭客攻擊的資安事件、顧客資料外洩的事件，沒有被直接曝光。

我們最常看到的，只有165反詐騙諮詢專線會公布民眾通報高風險賣場的名單，警方會向民眾呼籲，注意這些業者存在疑似顧客個資外洩的情形。以最近一年而言，通報件數嚴重的包括：東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，儘管這些網購平臺或服務業者在傳出詐騙事件之際，都發布反詐騙公告提醒民眾注意，但對於是否遭駭、發生重大資安事件，或是顧客資料外洩的狀況，後續都沒有相關調查與公告，這也導致，外界只能從許多新聞報導與網友在網路上的留言，得知詐騙者知道民眾的訂單內容與相關資訊。這也讓外界感到困惑，當中有些業者真的遭駭客網路攻擊，客戶沒有異常IP位置登入狀況，那為何沒有像雄獅、台灣虎航會如實發布資安事件重大訊息，並在公司網站上說明發生資安事件？

我們認為，可能因為業者未落實記錄保存，導致Log不完整，加上破口可能太多及外部合作夥伴等原因，而調查不出結果，甚至不知道自己遭駭、不願投入調查，這也等於形成國內顧客資料外洩事件的死角。

2022-11-29 雄獅旅遊資安事件小檔案

上市觀光業雄獅旅遊在11月29日於台灣證券交易所發布資安事件重大訊息，說明公司資安團隊查知駭客網路攻擊，並在改善及未來因應措施中提及通知旅客防範詐騙。

雄獅旅遊在11月29日於公司網站發布公告，說明公司遭網路駭客惡意攻擊電腦作業系統，並提及從不法人士詐騙手法研判，其不法利用的資料可能包括近半年訂單資料，包括訂單聯絡人姓名、電話與購買商品內容，但不包括旅客信用卡交易訊息。

在最近一周刑事警察局165公布的解除分期民眾通報高風險賣場中，雄獅旅遊已列入名單之內，之前幾週他們並不在名單中。對此，刑事警察局也一再提醒，上述客服不會來電要求民眾操作網路銀行或ATM解除錯誤設定。

根據刑事警察局165的資料顯示，關於2022年以來嚴重的高風險賣場，較嚴重的包括東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，疑似發生個資外洩。