國泰泄940萬客資料 延半年公布
包括護照身分證信用卡號碼 私隱署調查
【明報專訊】國泰航空及子公司港龍航空約940萬名乘客資料曾被不當取覽，資料包括姓名、電話、約86萬個護照號碼、24.5萬個香港身分證號碼，以及430張已逾期或無安全碼的信用卡號碼，外泄資料量較去年選舉事務處失378萬名選民資料，多出一倍。國泰3月已發現可疑，5月確認出事，至昨晚10時多才發公告。私隱專員公署稱從國泰公告得悉事件，非常關注，將主動接觸國泰及展開審查。
3月起疑 5月確認「未授權取覽」
國泰公告指今年3月在系統發現可疑活動，事後由網絡安全公司協助調查，同時加強資訊系統保安，5月初確認有個人資料被未獲授權取覽。
國泰稱，無證據顯示任何個人資料被不當動用，亦無任何乘客的旅行及常客計劃資料被全部取覽或密碼外泄，強調受影響系統與國泰航班系統完全獨立，不影響航班安全，但未交代確認外泄近半年始公布的原因。
稱無證據資料被不當動用
國泰外泄的資料包括86萬個護照號碼、24.5萬個香港身分證號碼、403張已逾期信用卡號碼和27張無安全碼的信用卡號碼，每名受影響乘客被不當取覽的資料皆不同；其他未獲授權取覽的資料還有乘客姓名、國籍、出生日期、電話號碼、電郵地址、地址、飛行常客計劃的會員號碼、顧客服務備註及過往飛行紀錄。
CEO道歉 開事件專屬網站
國泰行政總裁何杲就事件致歉。國泰已通知警方，並正知會當局及受影響乘客，又設立專屬網站及顧客專線(見表)。警方稱正了解事件。
資訊科技商會資訊保安召集人范健文稱，國泰未有交代如何引致事件，「有不少可能性，例如國泰網站有漏洞、員工登入的資料和密碼被人瀏覽到，但(國泰)完全沒說」。他相信國泰每年應有網絡保安的安全測試，質疑為何沒找出漏洞。
資訊科技界議員莫乃光對國泰昨晚才公布感不滿，「為何5月確認個人資料被取覽，拖5個月才公布？我懷疑國泰有拖延」。他指歐盟最近通過的《通用數據保障條例(GDPR)》規定，若發生同類事故，需於72小時內通報，違者可罰年度全球營業額4%。他指香港私隱條例已不合時宜，罰則及阻嚇不高。
莫又說，香港近年最大同類事件是去年選舉事務處失去378萬選民資料，現不知受影響國泰乘客有多少港人，不肯定今次是否香港歷來最大宗資料外泄事件。
譚文豪：被泄資料非完整
公民黨譚文豪稱，以他了解，被泄的並非完整資料。他舉例說：「例如我名字，『譚文豪』可能只是泄露了『譚』和『豪』兩個字，風險未必太大。」他相信國泰已有高度保安系統，但今次顯示私隱安全有隱憂。
