數發部揭酷澎台灣缺失最高可開罰200萬 將要求客戶資料落地管理

為了解台灣客戶個資是否受到酷澎南韓個資外洩事件影響，數發部於去年12月24日就曾親赴酷澎台灣位在台北101的辦公室進行了解，昨（25日）再度邀集法律、資安專家學者、刑事警察局及資安院組成行政調查小組，進行實地個資行政檢查。

今日一早，數發部便針對酷澎台灣用戶外洩事件，整理出4大說明：

1. 酷澎台灣資料外洩的攻擊者與酷澎南韓攻擊事件為同一人，皆是那位酷澎韓國離職員工，並以持有備援金鑰得以偽造客戶登入驗證之手法，擷取部分使用者資料。
2. 根據第三方資安公司鑑識報告指出，攻擊者是透過2,000多個不同IP網址，登入並接觸了20萬4,552名酷澎臺灣用戶的個資，包括姓名、電子郵件、電話號碼、配送地址，及部份訂單紀錄等。
3. 先前酷澎台灣表示，台灣與韓國的用戶資料庫有區隔，惟檢查結果發現，不同資料庫之備援金鑰係相同，使用同一備援金鑰即可存取。
4. 酷澎未刪除離職員工之權限及定期更換備援金鑰，導致離職員工仍可用備援金鑰存取資料。

數發部表示，後續將依《個人資料保護法》及《數位經濟相關產業個人資料檔案安全維護管理辦法》等相關規定，對鑑識報告及各項情事進行查核，並就調查事證結果，依法定程序辦理後續裁處事宜。