中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失

年底地方選舉進入倒數，中選會候選人財產申報網站卻出現資安問題，當民眾開啟該網站查詢頁面時，包含候選人身分證字號的資料就會一併傳送至瀏覽器，即使網頁畫面並未顯示相關資訊。中選會於10月28日證實，初判是委外廠商產製公告資料時，將身分證字號載入非公開查詢的檔案所致，昨日已完成程式修正，並針對疏失原因及影響範圍展開調查。

關於這項問題的發現經過，時代力量主席王婉諭在社群平臺臉書貼文指出，相關人員為了建置「民間版選舉公報」，使用中選會10月16日公開的候選人財產申報網站，10月27日他們意外發現嚴重的資安問題：網站查詢畫面雖僅顯示候選人姓名、選區等資訊，但透過瀏覽器內建的開發者工具，就能取得包含身分證字號的資料，且無須帳號或密碼。相關人員當天隨即通報中選會，並於28日由台灣前進陣線偕同來自時代力量、台灣基進、小民參政歐巴桑聯盟及台灣綠黨的候選人召開記者會，對外揭露此事。

中選會在28日發布相關事件說明，指出已於27日暫停該網站服務，由維護人員進行查核及程式修正，並於當晚7時重新開放查詢，同時通報主管機關。至於委外廠商發生疏失的原因及影響範圍，仍在持續調查。

值得留意的是，中選會強調，含有身分證字號的查詢檔案以亂碼方式呈現，非一般人可識讀，但這項說法引發質疑。具有多年軟體開發經驗的王景弘今日也在社群平臺臉書貼文說明他們觀察到的問題，我們也聯繫他，請他更具體說明。王景弘表示，問題出在網站後端回傳JSON格式資料時，未確實過濾不應傳送至前端的敏感欄位，而JSON本質上是結構化的文字資料，更要理解的是，當代的AI跟搜尋引擎爬蟲都具有索引JSON的能力，不管是什麼編碼或者是JSON ，都明確屬於機器可讀的結構化資料。他強調，出錯沒關係，但是不能沒有問題意識。

從目前揭露的資訊來看，這起事件突顯委外廠商在落實基本資安要求上的疏失，也反映政府機關在委外網站開發及上線驗收的資安把關上，仍有檢討空間。雖然該網站提供下載的PDF檔案及查詢畫面均未顯示身分證字號，但問題出在網站提供給瀏覽器的整包查詢資料，竟然包含不應公開的敏感欄位，顯然存在過度回傳的資安防護疏漏。