精準資料詐騙響警鐘　須修補漏洞加強保障

近日不少人收到假冒香港航空、友和香港及百老滙的詐騙來電，騙徒準確說出事主個人資料、航班或電器訂單內容，訛稱其航班或電器有問題，誘導事主轉帳，有個案損失高達136萬元。個人資料私隱專員公署本月先後收到上述三間公司通報，至少1,605人的資料受影響，已按機制展開調查。這一系列騙案令人不安，騙徒掌握了受害人的精確資料，其中存在的個人資料安全漏洞和隱患，值得引起重視。

消費者身份信息和交易細節外洩

從目前披露的資訊看，三間公司短時間內先後通報，受影響人數超過1,600人。騙徒能夠準確說出航班或訂單內容，意味着洩漏的資料不僅包括基本的個人身份信息，還包括消費交易的具體細節。這種精準度，不可能靠隨機撥號或社交媒體拼湊得來，必然源於資料庫被不當存取或外泄。問題的關鍵不僅在於「哪一間公司洩漏了資料」，更在於整條資料傳遞鏈條缺乏足夠的保障措施。

商業機構在收集消費者資料時，是否遵循了「收集所需」的原則，值得認真審視。網購平台要求消費者提供姓名、電話、地址，航空公司要求提供身份證號碼、護照資料，這些資料對於完成交易確有必要，但機構在收集之後如何儲存、使用、傳輸及銷毀，往往缺乏嚴格的內部管控。此外，相關商業機構在聘用第三方服務時，是否對第三方的資料保障能力做過盡職審查？合約中是否有明確的資料保護條款？一旦第三方出現洩漏，通報機制是否暢通？這些問題，在事件曝光之前，恐怕不少機構都未有認真對待。

應完整追溯整條資料鏈條安全保障

私隱公署已按機制展開調查，但調查的範圍不應止於確認「哪一間公司洩漏了資料」，而應完整追溯整條資料鏈條——從消費者提供資料的那一刻起，到騙徒取得資料的那一刻止，中間每一個節點都應納入審視。與此同時，執法部門亦須追查騙徒的犯罪網絡。精準資料詐騙的背後，往往涉及有組織的犯罪集團，若不從源頭打擊，即使今次事件平息，下一次同類騙案仍會以另一個品牌、另一批受害者的形式出現。

消費者自身固然須提高警惕，不要輕易相信各類退款、賠償或售後服務的來電，即使對方能準確說出詳細個人資料和消費信息，仍須多方查證。但將防騙責任過度傾斜至消費者一方，並不公平。與其苛責消費者「為何不多加查證」，不如追問機構「為何讓資料外泄」。保障消費者資料安全，是商業機構的基本責任，而非消費者的額外義務。

須進一步完善個人資料保障政策

從更宏觀的角度看，這一連串事件對香港的個人資料保障政策提出了新的課題。現行《個人資料（私隱）條例》的框架，主要針對資料收集和使用的規範，但在AI技術迅速發展、資料外洩風險持續提高的環境下，現有法規是否足以應對？商業機構資料外泄