美國第二大連鎖商信用卡資料外洩

  美國第二大連鎖商塔吉特(Target)在12月19日正式發出郵件通知客戶,表示公司資訊系統因遭駭客入侵,從2013年11月27日至12月15日期間內的刷卡記錄可能遭竊,約莫共4千萬筆,遭竊內容包含姓名、卡號、卡片到期日和卡片驗證碼。目前美國的塔吉特連鎖店推出全面9折的優惠來挽回消費者的信心,並對資料外洩的個別民眾提供免費的信用監督作為補償。

  每當資安事件發生時,所有防毒軟體公司及資安管理服務都會跳出來大肆評論,並宣稱這是因為沒有購買自家資安服務或產品的關係,但在塔吉特事件,此番事後諸葛的批判方式顯然不再行得通。

  塔吉特的資訊系統先前接受過檢驗,完全符合「支付卡產業資料安全標準(PCI DSS)」,有專家評析不太可能是在銷售點管理(POS)設備上(指擁有收銀、進銷存作業功能的機器)植入惡意軟體,比較可能是從授權與結算的交換系統竊取資料。

  塔吉特的信用卡資料外洩事件,引發了一連串的訴訟案件及犯罪調查,目前加州提起了兩件團體訴訟、奧勒岡州一件,損害賠償額估計高於5百萬美元;另外,目前至少有四州的州檢察長(Attorney General)展開了聯合調查,直接要求塔吉特配合提出信用卡資料遭竊事件的相關資訊,民眾和調查機關最關注的在於塔吉特何時得知資料遭竊事件的發生、花了多久時間進行應變以及是否有盡到立即通知當事人的義務。同時間,從塔吉特流出去的數百萬筆信用卡和簽帳卡資料已經開始在黑市中販售每筆價格20至100美元不等。

相關連結
※ 美國第二大連鎖商信用卡資料外洩, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6483&no=55&tp=1 (最後瀏覽日:2026/02/22)
引註此篇文章
你可能還會想看
落實綠色供應鏈 台灣廠商尚待加強

  歐盟推動的有毒物質禁制令( Restriction of Hazardous Substances, RoHS )自今( 2006 )年 7 月後開始啟動,國內多家 IT 廠商如主機板、液晶螢幕等業者均表示產品符合 RoHS 規範,政府提供的資料也指出,台灣大約八成的供應商和製造商符合 RoHS 規範,但是依照綠色環保產品行銷業者的觀察,實際數據遠低於此,應該只有五成不到。   所謂的 RoHS ,係明列自 2006 年 7 月後,製程、設備及材料處理研發禁止使用 6 種有毒物質,如鉛、汞、鎘等,內含六項管制物質的產品將不可在市面流通,屆時輸歐的電子、電機產品皆必須符合該標準。如果一旦抽驗發現有毒物質,產品即可能遭受召回、高額罰款或者長期法律訴訟。   廠商所謂的「符合」還有很多可議的空間,主要原因有兩種:首先製造商在取得供應商提供的原物料時,也許前者的確不含有毒物質,但是在製程、運送過程中,原物料仍有被污染的可能性,例如有鉛和無鉛產品共用一條生產線。然而製造商但憑供應商提供的品質文件就聲稱終端產品符合了 RoHS 規範。   其次,即使是供應商表示原物料符合 RoHS 規範,也還有待商榷,因為這必須判定供應商的原物料送審時,是以混測還是均質檢測。所謂的混測就是把包含兩三種不同原料的產品一併送測,這時候即使單一原料含有有毒物質,但在和其他物質含量平均後就無法檢測出來。均質檢測則就是每個原料都單獨出來檢驗。由於後者的成本高出許多,因此國內供應商多以混測方式送審,使得檢測結果可信度並非絕對。   RoHS 對將大量產品輸出歐洲市場的台灣 IT 產業影響深遠,根據經濟部技術處所提供的資料,據估計將有近 3.5 萬家廠商、高達新台幣 2,446 億元的產值將受到衝擊。基於此原因,經濟部技術處於去( 2005 )年七月啟動「寰淨計畫( G 計畫)」,結合系統廠商、檢測驗證機構、資訊服務業者等單位,以系統廠商帶動下游供應商的方式,加速國內電腦廠商推出符合環保規範的產品。儘管政府推動甚殷,國內供應商的確在前年開始準備,不過要確實符合 RoHS 之規範精神,而非僅是形式上符合,仍有待政府與業者共同努力。

WhatsApp與英國ICO達成協議將停止與Facebook間之資料共享

  英國資訊專員辦公室(Information Commissioner's Office,簡稱ICO)在歐盟資料保護主管機關(European Data Protection Authorities) 針對WhatsApp與其母公司Facebook間進行資料共享之行為提出相關顧慮之後,於2016年8月就上開事件是否涉及違反英國資料保護法(Data Protection Act)啟動調查,調查結果終於在2018年3月14日出爐並且雙方達成協議。   ICO調查結果是WhatsApp並無正當且合法之理由與Facebook進行資料共享,惟並未對WhatsApp進行任何懲罰,原因乃是WhatsApp並未分享英國用戶之資料予Facebook,並未直接違反英國資料保護法,因為WhatsApp被定位在資料處理者(data processor),只要運作是合法的且不侵擾人們之人權,即可容許。不過WhatsApp仍向ICO承諾將停止分享其用戶個人資訊予Facebook,此協議將持續到GDPR生效為止,亦即此後WhatsApp與Facebook間之資料共享若符合GDPR之規範,則可在基於安全防護之目的下進行或是改善其產品與廣告行銷。   ICO調查專員Elizabeth Denham指出WhatsApp不應與Facebook間進行資料共享之理由有三:一、WhatsApp並未確認其與Facebook間所進行之個人資料分享係基於何種法律依據;二、WhatsApp並未向其用戶適當且公平地揭露其如何處理、分享用戶之資料;三、對於WhatsApp既有之用戶而言,WhatsApp與Facebook間資料共享之處理目的與當初WhatsApp獲取其用戶資料之目的,二者並不相符。   惟歐盟其他國家對於WhatsApp之處置可能不若英國寬容。例如,法國國家資訊自由委員會(Commission nationale de l'informatique et des libertes,簡稱CNIL)正對其採取執法行動,而漢堡資料保護與資訊自由委員會(Hamburg Commissioner of Data Protection and Freedom of Information)將案件提交到高等行政法院,該法院並已禁止Facebook使用從WhatsApp共享中所獲得之資料。

何謂「群眾募資(crowdfunding)」?

  「群眾募資(crowdfunding)」過去原泛指一切提出資金需求計畫,向社會大眾招募資金的行為;目前則指資金需求者透過群眾募資網路平台提出資金需求,由平台代為籌資後再將資金轉交與資金需求者之活動。   群眾募資可紓解創業家有創意無資金無擔保品的資金困境,因此主要運用於難以透過傳統金融管道取得資金之產業,例如文化創意產業。然而除了商品生產或短期計劃的募資,廣義的群眾募資運用尚包含永續的事業資本募集以及週轉資金募集。目前各種群眾募資模式可分為捐贈模式、股權模式及債權模式: 1、捐贈模式:群眾捐錢贊助某個特定方案,但不期待因個人的捐助而獲得任何金錢上的回報。但通常會獲得提案者承諾提供之實物或者是體驗服務作為回饋。 2、資本模式(或稱股權模式):群眾透過網路平台將金錢投入某個專案,未來可以獲得因該專案所成立之公司的股票,或者是獲得盈餘或收益的分配。 3、債權模式:群眾透過網路平台將金錢借給某個專案或某人某公司,承諾未來會償還所借之金額及利息。

歐洲議會通過《關鍵原物料法案》強化供應鏈韌性及提升戰略自主權

歐盟執委會(European Commission)於2023年3月16日提出《確立關鍵原物料安全及永續供應框架規則草案》(Proposal for a regulation of establishing a framework for ensuring a secure and sustainable supply of critical raw materials,以下簡稱關鍵原物料法案),歐盟理事會和歐洲議會於2023年11月13日就草案內容達成政治協議,歐洲議會於2023年12月12日通過草案,有望於2024年完成立法。 《關鍵原物料法案》設有「關鍵原物料清單」(List of critical raw materials)和「戰略性原物料清單」(List of strategic raw materials),前者包含34種對歐盟經濟至關重要之關鍵原物料,而其中17種關鍵原物料又因具戰略重要性且預期將有全球供需失衡問題,而被劃分至「戰略性原物料清單」。為確保上述關鍵原物料之永續供應,《關鍵原物料法案》採取以下措施: (1)強化歐盟關鍵原物料價值鏈,制定2030年戰略性原物料基準:於2030年前,每年消費之戰略性原物料,至少10%於歐盟境內開採、40%於歐盟境內加工製造、25%於歐盟境內回收再利用。 (2)確保戰略性原物料供應多元化:未來加工階段使用之戰略性原物料,來自單一第三方國家之比例,不得超過總需求量65%。 (3)強化供應鏈韌性:提高歐盟監控和減輕關鍵原物料供應鏈風險之能力。 (4)關鍵原物料循環利用:確保關鍵原物料和含有關鍵原物料的產品在歐盟市場內能自由流通,並透過提高循環性和永續性,落實高水準環境保護政策。 歐盟期望透過上開目標之落實,並配合法案中之簡化開採許可程序及優惠融資管道等經濟鼓勵措施,促進關鍵原物料研發及供應鏈多元化,以落實綠色和數位轉型,並提升歐盟及其會員國之戰略自主權(strategic autonomy)。

TOP