|
|
|
|
 |
|
|
|
【多倫多泊車管理局】存在處理客戶銀行卡數據漏洞
(2025/10/3)
【明報專訊】多倫多市的公共泊車場的運營方，在保管顧客的銀行卡數據時卻粗疏大意，面臨審計時又採取篡改內部記錄的方法進行掩蓋，如今市府已知曉此事，正在對相關公司開展調查。據信舉報者是被試圖掩蓋問題的領導解僱。
這項針對多倫多泊車管理局（Toronto Parking Authority，TPA）信息安全做法的調查，源於其前網絡安全分析師提交的一份舉報。
TPA每年處理數以千萬計的電子交易，服務對象包括使用路邊泊車位、泊車場和車庫的司機，以及使用共享單車的市民。
這位因指出漏洞而被解僱的網絡安全分析師舉報稱，泊車管理局的信息安全團隊故意跳過關鍵信息安全步驟，未能有效保護客戶的支付卡信息免受數據泄露風險，並且長期未修補關鍵軟件漏洞。
而且這個原本應保護客戶安全的團隊，竟然還通過「做假賬」的方式，回溯內部文件日期，使其看似符合全球支付卡行業制定的最低安全標準。
市府方面表示「已知悉該情況，正會同第三方進行全面調查」。
泊車管理局的發言人梅紮諾特（Rita Mezzanotte）則拒絕回答任何問題，理由是調查正在進行當中。
如果這些指控屬實，後果可能會十分嚴重。任何被發現未遵循數據安全標準的機構，不僅可能面臨巨額罰款，還可能失去處理支付卡交易的資格。
這將對市政府財政造成打擊。自2002年以來，TPA已通過凈收入分成協議向市府貢獻超過14億加元，用於資助可負擔住房、公共交通和公園建設。去年TPA處理的2600多萬筆交易中，絕大多數是通過手機或信用卡支付完成的。
舉報者是前網絡安全分析師阿茲貝爾（Edmond Azbel）。他聲稱自己曾向主管指出問題，但隨即便被「炒魷魚」，而他當時在該機構已工作5年。
在提交給市審計長辦公室的投訴中阿茲貝爾稱，「這無關個人恩怨，而是關乎公共誠信、監管違規以及對持卡人數據環境的風險。」
作為北美最大的市政泊車運營商，多倫多泊車管理局每年處理的持卡人數據不斷增加，因無現金支付正逐漸成為常態。
根據支付卡行業數據安全標準（PCI DSS），TPA必須遵守一套技術和運營規則，以防範信息泄露、盜竊和網絡攻擊等安全威脅。
PCI DSS 適用於所有存儲、處理或傳輸持卡人數據的實體，包括維薩卡（Visa）、萬事達卡（MasterCard）、Discover、JCB International、運通卡（American Express）和中國的銀聯。上述卡組織通過自身的合規項目來強制實施標準。
2020年，TPA年處理交易量已超過600萬筆，並采取措施認證為一級商戶（Level 1 Merchant），這是最高級別的PCI合規標準。
作為一級商戶，TPA每年必須接受一名合格安全評估師（Qualified Security Assessor）的正式審查，以確保其合規。
投訴稱，問題始於2023年，當時吉爾（Gurvinder Gill）和利馬（Jose Lima）開始負責TPA的信息安全。其中吉爾擔任首席信息官，利馬則是信息管理與安全副主管。
阿茲貝爾在投訴中稱，利馬經常在年度審計前幾周才開始跟進PCI標準，之後再設法應付過關。
為了欺騙審計師，利馬與IT管理層的其他高管提交回溯日期的變更請求文件（該流程要求記錄所有可能影響系統安全的變更）。
阿茲貝爾說，「我拒絕參與，並在內部舉報這種行為。這些造假行為在內部被稱為『時光機流程』。吉爾曾承認有意操縱合規文件，並形容此行為就是『做假賬』，同時承諾未來續約來安撫我的反對意見。」
據稱團隊重覆使用了無關系統的截圖來模擬漏洞修補，以應付年度安全評估；同時他們還設置訪問控制列表規則，限制審計師查看尚未修補的設備。
早在2009年，市審計長就在報告中要求TPA優先實現PCI合規。2017 年底，市審計長通過欺詐與浪費熱線接到針對泊車管理局的投幣泊車機供應商的投訴，涉及信用卡收入處理問題。
調查發現，該供應商未建立正式的內部控制報告機制，無法識別、評估、跟蹤和報告內部控制缺陷。而內部控制是保護持卡人數據、確保PCI合規的重要環節。
|
|
|
|
|
|
|
|
| A D V E R T I S E M E N T |
|
| |
| |
| |
|
|
| |
| A D V E R T I S E M E N T |
|
| |
| |
| |
|
|
|
| |
|
|
|
| [] [] [] [] [] [] |
|
|
|
| MING PAO DAILY NEWS |
| A wholly owned subsidary of Ming Pao Enterprise Corporation Ltd. |
|
|
1355 Huntingwood Drive, Scarborough, Ontario, Canada M1S 3J1
Tel.: (416) 321-0088 Fax: (416) 321-9663 Advertising Hotline Tel: (416) 673-8250
|
|
|
|
