a triangle shaped sign on a yellow wall

本文重點

  • 外洩通知本身也可能是假的，一律自己回官網或官方 App 確認，不要點通知裡的連結。
  • 外洩本身通常不會直接讓你損失錢，危險在後面：詐騙集團知道了你的資料，騙起來會更像真的。
  • 先看「被外洩的是什麼」，再決定要做什麼。密碼外洩就改密碼，履歷外洩就提防假徵才。
  • 接下來 30 天，對「說得出你個資」的來電和訊息特別小心。拿不準就打 165。

這陣子，個資外洩新聞一則接一則。台灣的 104 人力銀行公告約 12 萬筆履歷資料遭未經授權讀取；韓國則有至少 7 家金融機構陸續通報客戶資料外洩。

如果你收到了一封「您的個資可能外洩」的通知，先別慌。這篇會陪你一步一步處理。

第一步：這封外洩通知是真的嗎？

聽起來很諷刺，但外洩通知本身就是詐騙很愛模仿的東西。「您的資料外洩了，請點此驗證身分」，正好讓人緊張到想立刻點下去。

就算是「官方管道」，也不保證是真的。英國購物網站 ASOS 最近就發生駭客透過 ASOS 官方 App 發送推播的事件。所以不管通知從哪裡來，都請不要點通知裡的連結、不要打通知裡的電話，而是自己打開官網、官方 App，或撥打你原本就知道的客服電話確認。

在台灣，依照個人資料保護法，業者發生個資外洩時，要查明後通知當事人，通知內容應該包括發生了什麼事，以及業者已經做了哪些處理。真正的外洩通知是告訴你狀況，不會要你輸入密碼、信用卡號或驗證碼。只要通知要你「提供資料才能確認」，就有問題。

外洩不等於被盜刷：第二波才是重點

很多人收到外洩通知，第一個反應是：「我的錢還在嗎？」通常是在的。韓國這次的事件，金融主管機關也說，目前還沒有確認因外洩資料而造成金錢損失的案例。

真正麻煩的是接下來。想像一下，有人打電話給你，說得出你的名字、你最近申請的貸款金額，然後說「我們是銀行，貸款審核需要再補一個驗證」。你會懷疑嗎？韓國媒體就警告過，詐騙者可能拿外洩的貸款資料，假裝銀行打來要你補驗證或安裝 App。同樣地，104 也在公告裡提醒會員，小心假冒 104 或徵才企業的電話和訊息。

這就像小偷不是直接搬走你的保險箱，而是先偷看了你的日記。下次他來敲門，說的每句話都對得上，你就更容易開門。

先看被外洩的是什麼，再決定要做什麼

每次外洩的資料種類不一樣，要做的事也不一樣。對照你收到的通知：

  • Email、電話：接下來會收到更多釣魚信和詐騙電話。重點是不點連結、不回撥陌生號碼。
  • 履歷（學經歷、求職意向）：小心「看了你的履歷，想邀請你面試」的假徵才，特別是要你先付費、加 LINE 或提供帳戶的。
  • 密碼：立刻改密碼，而且所有用同一組密碼的網站都要改。請參考「密碼外洩了怎麼辦」。
  • 身分證、駕照等證件資料或照片：這是最難換的資料，處理方式請看「你上傳過的駕照照片，現在在哪裡？」。
  • 信用卡資料：打給發卡銀行，詢問是否需要停卡換卡，並開啟刷卡即時通知。

如果通知沒寫清楚外洩了哪些資料（例如 104 的公告目前就還沒說明是哪些欄位），你可以直接問業者。個資法保障你有權利查詢業者保存了你哪些資料，可以這樣寫給客服：

您好，我收到貴公司的個資外洩通知。請問我的帳號有哪些資料在這次事件中可能外洩？也想請問貴公司目前保存了我哪些個人資料。謝謝。

今天就做的 4 件事

  1. 自己回官網確認。打開官網或官方 App 查看公告，確認這次外洩是真的、自己有沒有受影響。
  2. 改密碼，並開啟多因素驗證。就算通知說「密碼沒有外洩」，順手改掉也不吃虧。改成一組沒在其他地方用過的密碼，並開啟多因素驗證（登入時除了密碼，還要再輸入一次手機上的驗證碼）。
  3. 截圖保存通知。把通知內容、收到的時間截圖存起來。之後如果遇到詐騙或需要求償，這些都是證據。
  4. 告訴家人。跟同住的家人說一聲：「接下來如果有人打電話來，說是某某公司要找我，先別相信。」詐騙集團有時會改打給家人。

為什麼要改「所有」用同一組密碼的網站？駭客拿到一組帳號密碼後，會拿去其他網站一個一個試，這叫「撞庫」。就像小偷撿到你家鑰匙，會順便試試看能不能打開你的機車和信箱。

想知道你的 Email 有沒有出現在其他已知的外洩事件裡，可以到 Have I Been Pwned 輸入 Email 查詢，或是用我們串接該服務的免費中文版查詢工具。這是資安研究者經營的免費查詢網站，是我們推薦的工具，市面上也有其他類似服務。要注意的是，它不一定收錄台灣本地的外洩事件，查不到不代表沒外洩。

接下來 30 天的防詐雷達

外洩後的一個月，是詐騙最活躍的時候。遇到下面任何一種狀況，請把雷達開到最大：

  • 對方說得出你的姓名、電話、學歷或交易紀錄，但你從來沒主動告訴過他。
  • 對方自稱是外洩的那家公司，說要「補驗證」「確認身分」「處理外洩賠償」。
  • 對方要你下載 App、加 LINE，或點擊連結「查詢你的資料有沒有外洩」。
  • 對方要你提供簡訊驗證碼、信用卡安全碼、網銀密碼。
  • 突然出現條件好到不真實的工作機會，而且對方「剛好看過你的履歷」。
  • 對方催你今天、現在就要處理，不然「帳號會被停用」「權益會受損」。

遇到了，就掛掉電話、關掉訊息，自己撥打那家公司的官方客服確認。真的拿不準，就撥 165 反詐騙諮詢專線。

如果已經被騙了

先告訴自己：這不是你的錯，是你的資料先被別人弄丟了。接著盡快處理：

  1. 給過信用卡資料或驗證碼：馬上打給發卡銀行停卡。
  2. 給過網銀或其他帳號密碼：立刻改密碼；如果已經登不進去，聯絡該服務的客服凍結帳號。
  3. 已經匯款：立刻撥打 165 或到警察局報案，越快越有機會攔下款項。
  4. 保留所有紀錄：通話紀錄、簡訊、對話截圖、匯款單據都留著。

外洩不是你的錯，但你可以讓它停在這裡

個資外洩是業者沒顧好資料，不是你做錯了什麼。但接下來會不會被騙，你可以多擋一層：自己查證、不給驗證碼、多等 30 天的警覺。也歡迎把這篇傳給同樣收到通知的朋友。

如果你收到通知後不確定該怎麼處理，或擔心自己的帳號已經出問題，ET Home 提供個人一對一諮詢，陪你一起盤點、一起處理；組織需要外洩應變的教育訓練，也可以找我們。歡迎和我們聊聊。

資料來源