美國第二大連鎖商信用卡資料外洩

  美國第二大連鎖商塔吉特(Target)在12月19日正式發出郵件通知客戶,表示公司資訊系統因遭駭客入侵,從2013年11月27日至12月15日期間內的刷卡記錄可能遭竊,約莫共4千萬筆,遭竊內容包含姓名、卡號、卡片到期日和卡片驗證碼。目前美國的塔吉特連鎖店推出全面9折的優惠來挽回消費者的信心,並對資料外洩的個別民眾提供免費的信用監督作為補償。

  每當資安事件發生時,所有防毒軟體公司及資安管理服務都會跳出來大肆評論,並宣稱這是因為沒有購買自家資安服務或產品的關係,但在塔吉特事件,此番事後諸葛的批判方式顯然不再行得通。

  塔吉特的資訊系統先前接受過檢驗,完全符合「支付卡產業資料安全標準(PCI DSS)」,有專家評析不太可能是在銷售點管理(POS)設備上(指擁有收銀、進銷存作業功能的機器)植入惡意軟體,比較可能是從授權與結算的交換系統竊取資料。

  塔吉特的信用卡資料外洩事件,引發了一連串的訴訟案件及犯罪調查,目前加州提起了兩件團體訴訟、奧勒岡州一件,損害賠償額估計高於5百萬美元;另外,目前至少有四州的州檢察長(Attorney General)展開了聯合調查,直接要求塔吉特配合提出信用卡資料遭竊事件的相關資訊,民眾和調查機關最關注的在於塔吉特何時得知資料遭竊事件的發生、花了多久時間進行應變以及是否有盡到立即通知當事人的義務。同時間,從塔吉特流出去的數百萬筆信用卡和簽帳卡資料已經開始在黑市中販售每筆價格20至100美元不等。

相關連結
※ 美國第二大連鎖商信用卡資料外洩, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6483&no=64&tp=1 (最後瀏覽日:2026/10/17)
引註此篇文章
你可能還會想看
德國總理梅克爾敦促歐盟立法允許「資訊追蹤(data tracking)」,以有效打擊恐怖主義

  2014年7月歐盟法院宣告2006年起施行的「資料保留指令」無效,該指令允許警察機關使用私人通聯記錄,但不允許揭示通訊內容。資料保留指令之所以被歐盟法院廢止,起因於不合乎比例原則及沒有充分的保護措施,該指令規定歐盟成員國必須強制規定電信公司必須保留客戶最近六個月到十二個月的通聯紀錄,不過在歐盟法院廢止指令之前,德國憲法法院在2010年時就已經以違反憲法為由停止執行指令。   惟在2015年1月,伊斯蘭激進主義份子的恐怖攻擊事件,共12人被射殺。因此德國總理梅克爾2015年1月在下議院針對該恐怖事件發表演說,雖因美國的史諾登事件,揭露美國政府大量監聽私人通訊和監視網路流量的行動,而引起了德國人對隱私權保護的關注,但梅克爾表示德國各層級的部會首長都同意有使用私人通聯記錄的需要、使嫌疑犯的通聯記錄能夠被警方用來偵查犯罪,但應該由法律規範資料保留的期間限制,她敦促各界向歐盟委員會施加壓力,重新訂定資料保留指令,使各歐盟成員國能修正國內法律。   歐盟委員會正在評估此法制議題,並考慮向歐盟議會、各成員國、民間團體、執法部門和個資保護組織間建立開放式對話,決定是否有需要訂定新指令;但德國司法部長並不贊成梅克爾擴大監督人民通訊的想法,認為這是過於倉促的行動,而且除了資訊記錄留存外,德國政府也儲存所有媒體資料並限制媒體自由,他認為這並不合適。   目前英國國內保守黨和自由黨現正為新修訂的通訊資料法,為人民隱私權的保護範圍爭論不休,而美國由於近年受到不少駭客攻擊,故美國總統歐巴馬採取與梅克爾相似的立場,希望能擴張執法機關的權力,公開提倡強化美國網路安全相關法規。

歐洲藥品管理局更新利益衝突規範

  歐洲藥品管理局(The European Medicines Agency,EMA)於3月底至6月初陸續發布四份利益衝突範。包括「處理管理董事會利益衝突政策方針」(European Medicines Agency Policy on the Handling of Conflicts of Interests of the Management Board),將董事會自過去的利益衝突獨立出來單獨規範;並針對違反利益聲明揭露訂立「EMA科學委員會和專家違反利益衝突信賴程序」(European Medicines Agency Breach of Trust Procedure on Conflicts of Interests for Scientific Committee Members and Experts),和「EMA管理董事會違反利益衝突信賴程序」(European Medicines Agency Breach of Trust Procedure on Conflicts of Interests for Management Board Members);以及修定「處理管理董事會、科學委員會成員和專家利益衝突政策方針」(European Medicines Agency Breach of Trust Procedure on Conflicts of Interests for Scientific Committee Members and Experts)。   針對專家和管理董事會所制定的處理利益衝突規範,主要目的是確保兩者在參與EMA的活動時,不會發生與醫藥業者相關聯的利益衝突,影響EMA公正性。觀察上述規範,可以發現EMA對於專家和管理董事會兩者的規範原則相當一致,皆聚焦於增進利益衝突處理過程的強健性(robustness)、有效性(efficiency)和透明性(transparency)。分別規範的原因在於兩者功能上的區別,分述如下: 1. 專家規範層面,有鑒於在先進醫藥領域中的專家有限,缺少可替代性,因此規範目的在於兼顧公正性與專業之間的平衡; 2. 管理董事會層面,由於其主要任務為監管和決策,規範上區別成員所參與活動的程度和範圍做更為細部的規範,與專家不同,並非有利益衝突就必須迴避。   為進一步加強EMA處理利益衝突的強健性,EMA科學委員會和專家,以及管理董事會違反利益衝突信賴程序的主要規範內容為專家和管理董事會成員作出不實利益聲明時,EMA的處理程序。可區分為調查、聽證與修正三個階段,分述如下: 1.調查階段,首先調查系爭當事人是否為不實之利益聲明後,評估是否啟動違反利益衝突信賴程序; 2.聽證階段,召開聽證會,聽證系爭當事人陳述觀點。倘若確定違反利益衝突信賴,系爭當事人即自EMA除名; 3.修正階段,EMA將審查系爭當事人曾經參與科學審查案件的公正性,並評估是否進行補救措施。   雖然EMA對於專家是否確實聲明利益缺少強制力,然而仍能透過新的利益衝突機制設計,看出EMA對完善利益衝突規範的企圖,值得近來正在修訂利益衝突機制的我國學習。

德國禁種MON810爭議,行政法院裁定有理由,支持主管機關禁種決定

  跨國農業生技公司Monsanto研發的MON810品系抗蟲基因改造玉米,於今(2009)年4月中旬遭到德國農業生技的主管機關-聯邦營養、農業與消費者保護局(Bundesministerium für Ernährung, Landwirtschaft und Verbraucherschutz, BMELV)援引歐盟基因改造生物環境釋出指令(EU-Freisetzungsrichtlinie)中的防衛條款,加以禁種。   雖然Monsanto隨即對BMELV此項決定提出行政訴訟,但Braunschweig行政法院在5月初作出的暫時性裁定,支持了BMELV此項決定。法院基於兩大理由,裁定BMELV之禁種決定並非無據:(1)只要有新的或進一步的資訊出現,支持基因改造作物可能會對人體或動物健康造成損害,即可支持主管機關作出禁止種植已經取得歐盟上市許可的基因改造作物之決定之論據,不需要存在有必然會有風險的科學知識。(2)據此論據進行風險調查及風險評估,乃主管機關之執掌,主管機關對此有裁量權(Beurteilungsspielraum),從而,法院介入審查該行政決定的重點,在於主管機關是否已為充分的風險調查、有無恣意論斷風險。本案目前尚非終局之決定,Monsanto仍可對於此項裁定提出抗告。   在歐盟,基因改造生物的上市需透過歐盟程序為之,一旦歐盟執委會允許某一基因改造生物的上市,該基因改造生物原則上即可在全體歐盟會員國推廣銷售,包括種植。唯歐盟環境釋出指令例外容許會員國得於一定條件下,援引防衛條款主張已通過歐盟審查的基因改造生物,對於其境內環境或人體與動植物健康有負面影響,從而禁止特定已取得歐盟上市許可的基因改造生物於其境內流通。防衛條款的動用屬例外情形,且須定期接受歐盟層級的審查。

網路搜尋引擎龍頭Google 控告Microsoft剽竊搜尋結果

  網路搜尋引擎龍頭Google質疑Microsoft研發的“Bing”搜尋引擎有剽竊Google搜尋結果的狀況,對此Google已提出訴訟。Google表示,為了要調查是否有搜尋結果被剽竊的情形,故意在搜尋引擎中創造近100個毫無意義的搜尋關鍵字,例如“Hiybbprqag”、“Mbzrxpgiys”和“Indoswiftjobinproduction”等,同時對應該關鍵字插入虛假的搜尋結果。在幾個禮拜之後,Google發現競爭對手Microsoft 的Bing搜尋引擎也出現相同的搜尋結果,因此認為Bing有剽竊之疑。Google表示:「Google的搜尋結果是經過多年辛苦努力的成果,這件事情對我們來說像是一場馬拉松賽跑中有人在背後偷襲你,然後突然跳到終點站前迎接勝利,是一種欺騙的行為。」   Microsoft否認剽竊搜尋結果,認為這是Microsoft用來提高搜尋品質結果的方法之一,Bing實際上使用不同的符號和方法來對於不同的搜尋結果加以分級,用來辨別不同的搜尋結果。同時針對搜尋結果提供多數關連的答案,藉此增加消費者對於Bing搜尋引擎的良好經驗,Google使用間諜手法(Spy-novelesque stunt)對競爭對手進行調查,此舉已抹黑Bing,蒙上不好的評價。   Google提出抗辯認為Bing的行為構成簡單而顯然的詐欺,造成不同的搜尋引擎產生同樣的搜尋結果。況且搜尋引擎的功能,若可以出現與Google搜尋下相同的結果,並無法保證能創造出更好的搜尋品質,Microsoft的說法無法獲得肯認,後續延燒的訴訟爭議,有待日後進一步觀察。

TOP