捐款人個資恐外洩！netiCRM服務商遭駭，公督盟、司改會等超過20個非營利組織接連示警

臺灣非營利組織使用的捐款管理系統netiCRM傳出資安事件，服務商網絡行動科技部分伺服器遭外部攻擊者入侵，包括婦女新知基金會、公民監督國會聯盟、民間司法改革基金會及台灣同志諮詢熱線協會等超過20個非營利組織相繼發布公告，提醒捐款人留意可疑來電與詐騙訊息。其中，公督盟已預防性暫停線上捐款及活動報名服務，至於是否涉及捐款人個資外洩，目前仍在調查中。由於相關公告持續增加，究竟有多少組織受到波及，以及是否所有使用netiCRM的組織都受到影響，仍有待進一步釐清。

我們今日注意到，婦女新知基金會11月9日晚上10時於社群平臺臉書示警，指出該基金會使用的捐款管理系統netiCRM，部分伺服器已於11月9日傍晚遭外部攻擊者入侵。服務商發現事件後已採取緊急處置，並預計通報主管機關及報警。婦女新知基金會也提醒捐款人留意陌生來電與訊息，以防遭到詐騙。

我們進一步追查後，發現至少還有20多家非營利組織正陸續發布相關公告。其中，台灣同志諮詢熱線協會於11月10日在官方網站發布公告，揭露更多事件細節。根據該協會接獲的服務商通知，網絡行動科技部分伺服器於11月8日晚間至9日凌晨遭外部攻擊者入侵，業者已於9日凌晨切斷攻擊者連線、完成漏洞修補，並全面更新伺服器金鑰與系統密碼。公民監督國會聯盟也在官方網站發布公告，指出該組織使用的netiCRM捐款管理系統發生資安事件，基於安全考量，已預防性暫停線上捐款及活動報名服務。

此外，民間司法改革基金會、孩子的書屋、台灣行動兒童療育協會、Right Plus多多益善、DFC臺灣（臺灣童心創意行動協會）、生育改革行動聯盟、台灣勞工陣線協會、現代婦女基金會、Make-A-Wish Taiwan喜願協會、中華兒童暨家庭守護者協會、社團法人中華飛揚關懷協會、愛滋權促會、暖暖Sunshine、社團法人臺中市助扶關懷協會（耕水小子）、壹零玖伍移民工文化協會、南洋台灣姊妹會、冤獄平反協會、台灣放伴教育協會及台灣科技媒體中心（SMC）等組織，也相繼透過社群平臺發布示警。其中，放伴教育協會、Right Plus多多益善及SMC均表示已更換netiCRM系統後臺管理密碼，部分組織也主動發信通知捐款人或活動參與者，提醒可能出現假冒組織名義的詐騙訊息。

為了進一步確認事件狀況，我們聯繫網絡行動科技，該公司表示已於11月9日寄發資安事件通知給客戶，除了確認前述攻擊時間，也進一步說明遭入侵的過程。根據該公司說明，攻擊者取得該公司內部程式碼管理系統的一組帳號密碼，並利用系統漏洞取得一臺伺服器的管理權限，於11月9日凌晨1時55分入侵該伺服器。業者隨後於凌晨3時30分左右切斷攻擊者針對該主機的所有連線。

至於可能受影響的資料，網絡行動科技指出，由於攻擊者取得該臺伺服器的管理權限，理論上可以讀取主機上的資料，因此基於審慎原則，將客戶網站後臺帳號及網站寄信機制使用的郵件帳號設定視為可能外洩。其中，後臺帳號密碼是經過雜湊處理後儲存，並非以明碼儲存，至於客戶網站及租用服務的個資是否遭竊，目前仍在調查中。

在事件因應方面，網絡行動科技說明5項事故處置措施，包括：（一）切斷攻擊者的連線，並移除攻擊者留下的存取管道；（二）停用存在漏洞的系統，並完成修補；（三）全面更換伺服器金鑰、資料庫密碼及雲端服務憑證；（四）逐臺檢查所有主機是否留有後門；（五）徵詢專業資安人員的建議。此外，該公司也表示，已於11月10日向數位發展部通報，並向臺北市警察局報案。至於後續補強作業，業者將重建客戶網站的系統環境，並持續進行系統切換，期間可能造成數小時的服務中斷。若發現針對特定客戶網站或租用服務的可疑活動，也可能基於安全考量，預防性暫停相關服務。

另一方面，網絡行動科技也建議客戶儘速更改netiCRM後臺所有管理員的密碼、提醒捐款人留意詐騙電話與訊息，並通知內部利害關係人。此外，該公司表示，11月10日晚間將再次向客戶說明最新處理進度及後續相關。