【台電訊商洩資料】遠傳續約簡訊被揭有漏洞 恐洩700萬用戶身份證、住址
蘋果日報 2020/06/10 13:00
台灣電訊商遠傳洩個人資料
（新增內容）台灣2年前三大電訊業者引爆「499吃到飽之亂」，現在這批綁約用戶陸續到期，電訊業者又展開續約促銷搶客大戰，孰料戰火剛起，三大龍頭之一遠傳電訊就發生洩個人資料事件。遠傳電訊周三（10日）下午承認續約簡訊提供的客製化設計流程確實有漏洞，疏忽防範有心人士，造成用戶安全疑慮的缺失，深感抱歉，指已關閉續約短訊的相關服務。
「只是透過有我電話號碼的連結，就可點入續約，讓我覺得安全性有點問題。」當年在499之亂時搶進成為遠傳用户的網頁工程師黃先生，只想點入連結看續約有何優惠，基於職業敏感度和好奇心，意外發現遠傳續約網站安全性有問題，讓遠傳700萬用戶陷個資外洩風險。
台灣《蘋果新聞網》日前接獲黃先生的爆料，他附上自己收到的遠傳傳送續約簡訊，和一小段他的測試影片，在一堆網頁編碼中，迅速辨識出一串身份證字號和中文顯示的住址，令人驚覺此事非同小可，讓人以為該名投訴人具備「黑客」級專業身手。
為一辨真偽，《台蘋》聯繫黃先生見面談，並提供其他遠傳門號「現場測驗」，結果前後僅花約一分鐘，遭黃先生一一「破解」，該門號用戶包含姓名、住址等個人資料全騷在電腦螢幕上。
黃先生說：「這漏洞簡直低級得可怕！」他說，不至於擔心電話外洩被賣到黑市詐騙，因為網絡黑市也買得到，但最讓他害怕的是這個資連他住處地址都一清二楚，如遭人惡意運用，後果真不敢想像。
為一辨真偽，《台蘋》聯繫黃先生見面談，並提供其他遠傳門號「現場測驗」，結果前後僅花約一分鐘，遭黃先生一一「破解」，該門號用戶包含姓名、住址等個人資料全騷在電腦螢幕上。
黃先生說：「這漏洞簡直低級得可怕！」他說，不至於擔心電話外洩被賣到黑市詐騙，因為網絡黑市也買得到，但最讓他害怕的是這個資連他住處地址都一清二楚，如遭人惡意運用，後果真不敢想像。
黃先生更進一步發現，只要用Google Chrome瀏覽器中附加的網頁開發者工具，查看該續約網址後台資料，只要門號屬於可續約狀態，就能從該網頁後台資訊，找到該門號用戶的身分證字號，如在該續約網頁上，隨機點選想要續約的方案後，就連用戶住址、姓名、電子郵件等個資，都能從網頁後台一一被找出。
黃先生表示，他並非在資安公司上班，但平常在網頁開發過程中，會注意一些簡單的資安漏洞，遠傳這漏洞，只要稍具網頁開發知識，一般人都能輕易破解，不但不需高深黑客技巧，連上述開發者工具都還是瀏覽器附屬的免費功能，這些用戶個資一旦外流，就可能淪為不肖份子用來詐騙金錢的工具。他猜測，該續約網頁可能是想讓用戶都能快速續約，才將用戶個資提前準備好在網頁後台，讓用戶不須複雜的鍵入，才造成這個資安漏洞，原以為遠傳會很快補起該漏洞，但從發現到現在已過好幾個月，漏洞依舊存在。
遠傳電訊指，目前只發現極少數個案透過漏洞查詢其他用戶資料，將主動聯繫有關客戶了解，必要時將配合當局進行調查。其他用戶可經由官網登錄完成續約。
台消基會執行董事游開雄表示，遠傳為上市公司，掌握數百萬用戶個資，投訴民眾發現狀況如屬實，確實是很大漏洞，除用戶有機會依照個資法求償外，主管機關應介入了解。
過去因舉證不易，民眾即使發現個資外洩也難以求償，但現依《個人資料保護法》規定，若被害人不易證明實際損害，得以每人每事件500元新台幣（下同，約130港元）以上、2萬元以下（約5,200港元）計算求償，以遠傳全部707萬用戶計算，賠償金額恐逾35億元（約9億港元），所幸同法也規定同一原因合計最高損害賠償上限為2億元（5,200萬港元），不然遠傳會賠到脫褲。
過去因舉證不易，民眾即使發現個資外洩也難以求償，但現依《個人資料保護法》規定，若被害人不易證明實際損害，得以每人每事件500元新台幣（下同，約130港元）以上、2萬元以下（約5,200港元）計算求償，以遠傳全部707萬用戶計算，賠償金額恐逾35億元（約9億港元），所幸同法也規定同一原因合計最高損害賠償上限為2億元（5,200萬港元），不然遠傳會賠到脫褲。