消費者個資恐進入地下交易鏈？ 駭客喊賣「可不可」70萬會員資料

手搖飲品牌「可不可熟成紅茶」疑似會員資料外洩。駭客在地下資料交易平台BreachForums宣稱掌握可不可70萬筆會員資料，並公開3萬筆樣本。此事件目前仍屬攻擊者單方面宣稱，尚未獲得官方證實；不過，資安專家提醒，BreachForums並非一般駭客聊天論壇，而是全球知名的地下資料交易平台，未來仍需觀察，外洩的資料是否會進入地下交易鏈。

資安圈近日發現，一名使用者以暱稱「bbl082」在全球知名地下網路犯罪論壇BreachForums發文，使用簡體中文及英文宣稱已取得超過70萬筆可不可會員資料，並公開約3萬筆樣本，同時尋找有意購買完整資料的買家。

從公開樣本來看，目前欄位包含姓名、別名、電話、性別、生日、VIP等級、加入時間、會員點數、消費次數、最後到店時間、加入門市、最後到店門市、年齡、會員條碼，以及LINE官方帳號相關識別資訊等。外界擔心，若相關資料外洩，詐騙集團可能假冒品牌客服，以點數、優惠或帳號驗證等名義聯繫消費者。

由於這次駭客是在BreachForums公開3萬筆樣本資料，引起資安圈關注。BreachForums並非一般駭客聊天論壇，而是全球知名的地下資料交易平台，長期涉及遭竊個資、帳號憑證等資料交易，過去也曾多次遭國際執法機關查扣。因此，當企業資料出現在這類平台上，意味著這些資料可能已進入地下交易鏈，甚至被進一步轉售或用於其他犯罪活動。

餐飲業者大多會請消費者留下會員資料，只是，如果相關資料外洩，也容易讓消費大眾成為詐騙集團瞄準的目標。資安業者竣盟科技總經理鄭加海提醒，餐飲業真正容易出現的問題，未必是多高深的駭客技術，可能只是基本管理沒有做好，例如POS與會員系統共用帳號、第三方廠商權限過大、離職員工帳號沒有關閉，或管理者帳號沒有啟用資安保護機制MFA（多重要素驗證）。

鄭加海建議，餐飲業會員資料可掌握六大原則，「少收、分權、加密、留紀錄、有人負責、出事能快速處理。」能不收的個資就不要多收，必要資料應限制存取權限並做好加密，同時保留存取紀錄，建立清楚的個資管理責任。若發生異常，也必須能快速確認「哪裡出問題、哪些資料受到影響」，做好基本的資料管理與權限控管，才是降低會員資料外洩風險的第一步。