美國第二大連鎖商信用卡資料外洩

  美國第二大連鎖商塔吉特(Target)在12月19日正式發出郵件通知客戶,表示公司資訊系統因遭駭客入侵,從2013年11月27日至12月15日期間內的刷卡記錄可能遭竊,約莫共4千萬筆,遭竊內容包含姓名、卡號、卡片到期日和卡片驗證碼。目前美國的塔吉特連鎖店推出全面9折的優惠來挽回消費者的信心,並對資料外洩的個別民眾提供免費的信用監督作為補償。

  每當資安事件發生時,所有防毒軟體公司及資安管理服務都會跳出來大肆評論,並宣稱這是因為沒有購買自家資安服務或產品的關係,但在塔吉特事件,此番事後諸葛的批判方式顯然不再行得通。

  塔吉特的資訊系統先前接受過檢驗,完全符合「支付卡產業資料安全標準(PCI DSS)」,有專家評析不太可能是在銷售點管理(POS)設備上(指擁有收銀、進銷存作業功能的機器)植入惡意軟體,比較可能是從授權與結算的交換系統竊取資料。

  塔吉特的信用卡資料外洩事件,引發了一連串的訴訟案件及犯罪調查,目前加州提起了兩件團體訴訟、奧勒岡州一件,損害賠償額估計高於5百萬美元;另外,目前至少有四州的州檢察長(Attorney General)展開了聯合調查,直接要求塔吉特配合提出信用卡資料遭竊事件的相關資訊,民眾和調查機關最關注的在於塔吉特何時得知資料遭竊事件的發生、花了多久時間進行應變以及是否有盡到立即通知當事人的義務。同時間,從塔吉特流出去的數百萬筆信用卡和簽帳卡資料已經開始在黑市中販售每筆價格20至100美元不等。

相關連結
※ 美國第二大連鎖商信用卡資料外洩, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6483&no=55&tp=1 (最後瀏覽日:2026/05/20)
引註此篇文章
你可能還會想看
歐盟修正重型車輛碳排放規定,擴大適用範圍並提高減排目標

歐盟於2024年4月26日通過重型車輛二氧化碳排放性能標準(Regulation (EU)2019/1242)修正案,加速交通運輸部門的脫碳進程,以實現2050年淨零排放目標。修法重點如下: (1)擴大適用範圍:除了現有的卡車外,亦納入市區公車、長途巴士(7.5噸以上)、拖車等車型,如垃圾車等特種車輛也將從2035年起納入管制。而歐盟執委會將於2027年評估是否將5噸以下小型貨車也納入規範。 (2)明確減排目標:要重型車輛的二氧化碳排放量在2030年、2035年和2040年分別較2019年減少45%、65%和90%。求2030年起,90%的新售市區公車必須為零排放車輛,並在2035年達到100%零排放。 (3)技術中立原則:允許製造商選擇電動化、氫燃料電池或氫內燃機等不同技術路線來達成減排目標。 (4)豁免及彈性條款:針對礦業、林業和農業用車,以及軍用、緊急救災和醫療用途車輛等特殊用途車輛,或年產量低於100輛的小型製造商,新法將不強制納管。且為確保產業公正轉型,歐盟也提供相關培訓和資金援助,協助產業轉型和勞工技能提升。 歐盟執委會將於2027年評估這項規範的實施成效,並考慮納入更多車型、制定全生命週期碳排放計算方法,以及評估可再生燃料在交通運輸部門脫碳進程中的作用。

Apple 對於Psystar案件之判決

  Apple在對Psystar的法律訴訟上贏得重要的勝利,美國政府聯邦法院已判決複製品製造者Psystar於販售個人電腦時事先安裝Mac OS X作業系統,已侵犯Apple的著作權。   在雙方提起簡易判決訴訟後一個月,美國地方法院法官William Alsup 表示Psystar已侵害Apple專用之重製權、散布權及衍生著作權,於判決中針對著作權侵害一事已被承認。並且確認Apple於Mac OS X產品之直接用戶授權合約,是限制使用於Apple生產的電腦,更特別禁止安裝此作業系統於其他電腦;在此同時,法官否決Psystar的論點:首次銷售原則所允許,買家可以任意使用此作業系統。 此外,法官同意Apple的聲明,Psystar侵害數位化千禧年著作權法案之反規避條款及反交易條款,另一方面,法官也否決Psystar對Apple濫用著作權的論點。   此判決並未包含其他Apple所提出的主張,包括:合約的侵害、商標的侵權及商標稀釋,法官也未提出給予Apple救濟上的權利,包括先前提及之永久禁止令,要求中止Psystar販售任何帶有Apple軟體的硬體並強迫其召回所有已售出帶有此作業系統之機器。   此判決對Apple而言,是決定性的勝利,但並非結束所有在法律上的爭議,12月14日將進行賠償的審訊,其餘審判也預訂於明年1月開始。

中國大陸國家新聞出版廣電總局重新建構網路服務管理規範

歐盟認可紐西蘭已提供相當於歐盟保護層級之個人資料保護

  在2012年12月19日,歐盟執委會宣布一項決議,該決議認可紐西蘭為已提供相當於歐盟保護層級之個人資料保護的國家;根據1995年歐盟個人資料保護指令(EU Data Protection Directive of 1995),此決議將使位於歐盟會員國(目前為27國)的事業,可以不必採取額外的防護措施,即可將個人資料自歐盟會員國傳輸到紐西蘭。   根據歐盟個人資料保護指令,個人資料不許被傳輸至歐盟會員國以外的國家,除非這些國家被歐盟執委會認可為,已提供相當於歐盟保護層級的個人資料保護;或此些國家對上述傳輸已採取額外的防護措施,例如已取得當事人之同意,或已於相關契約內附有經歐盟認可之個人資料保護相關契約條款。歐洲經濟區(EuropeanEconomic Area;簡稱EEA)內的另三個國家,亦即挪威、冰島、列支敦士登,亦因EEA條約(Agreement on the European Economic Area)之約束,而須遵行個人資料保護指令。   由於上述認可的過程相當嚴格而繁複,目前已取得歐盟執委會上述認可的非歐洲國家,除了紐西蘭之外,僅有例如,加拿大、阿根廷、以色列、澳洲等少數國家;至於歐洲國家亦僅有例如瑞士、安道爾等數國。

TOP