獨家／矯正署內鬼？中國駭客兜售台灣監獄2000受刑人資料　竟稱「內部外流」

民視新聞／蘇恩民報導

矯正署驚爆內鬼洩受刑人個資疑案！韓國資安公司S2W日前監測暗網情資發現，中國駭客情資交換平台竟有人兜售2000多筆台灣監所受刑人詳細資料，不但罕見PO出「紙本名單」，聲稱「假一賠十」吸引買家，還標註「內部外流」，引發法務部高層高度關注。矯正署比對確認多處監所新收人犯資料無誤，下令徹查外洩管道，副署長蘇維闊也強調，只要有可疑不法，會立即移送地檢署偵辦。

記者循線追查發現，販售台灣監獄收容受刑人資料的中國駭客情資交換平台，是名為「義群資料-頂尖」的不公開Telegram頻道，駭客釋出多份樣本文件，內容包括屏東、新竹、高雄等多處監獄收容人資料，除了姓名、身分證字號、生日、住址等基本個資，還包括刑期、發監日、收容舍房，甚至連緊急聯絡人姓名、電話都詳細記載。

法務部官員比對駭客曝光文件所列名單，證實多數是今年6、7月各縣市獄所新收入監的受刑人，且資料詳盡，駭客宣稱握有2000多筆資料，也與過去五年台灣監所每年新收人犯2萬5221人至3萬6589人、平均每月2千多人大致相符，目前雖未排除駭客入侵竊密賣個資，但初步研判內部人外洩可能性不低。

為何「受刑人個資」特別危險？

這也讓事件的性質開始從單純的「個資外洩」，衍生可能牽涉駭客組織犯罪、司法黃牛詐騙、家屬人身安全、政府機關資安信任危機等多面向問題。

一般個資外洩可能引發詐騙集團亂槍打鳥行騙，但受刑人的資料具有更高的敏感性，尤其是新收人犯，入獄後與外界隔絕，著急的家屬可能會想方設法，不惜花大錢、找門路，希望幫助受刑人改善獄中生活，甚至誤信只要打點特定人士，就可提早獲准假釋，因此詐騙集團或司法黃牛一旦掌握受刑人發監詳細資料與家屬聯絡管道，就可假冒矯正機關官員、律師或司法人員進行「精準詐騙」，大大提高上下其手、詐財成功的機會。

矯正署急示警　受刑人家屬勿上鉤

對此，矯正署副署長蘇維闊表示，矯正署確有接獲相關受刑人個資外洩訊息，政風司、資訊室已分頭清查轄下各有關人員及電腦使用情形，目前還不知道哪個環節外洩，但只要發現具體可疑不法，就會立即移送地檢署偵辦。

蘇維闊強調，從駭客釋出樣本文件，可以看到相當具體的收容人個資，顯然對當事人權益具有一定程度的危害，矯正署已指示各監所提醒受刑人及家屬提高警覺，避免遭受詐騙集團或司法黃牛趁機詐財。

資安專家：先釐清資料如何被集中取得

針對這起矯正機關受刑人個資外洩事件，台灣資訊安全協會監事、資安專家鄭加海表示，調查不應只聚焦在「系統有沒有被駭」，更重要的是釐清這些分散在各縣市不同監所的資料，究竟如何被集中取得。

他指出，可能原因包括外部入侵、系統漏洞或是具合法權限的帳號遭到濫用。因此，除了確認是否存在駭客入侵痕跡，也應進一步檢視登入、查詢、權限異動及資料匯出紀錄，確認是否出現異常的大量查詢或資料下載。

全國受刑人逾6萬　恐掀更大資安風暴

尤其如果同一帳號在短時間內查詢數百、甚至數千筆資料，即使帳號本身是合法的，也不代表這些資料存取就是合法的，所以資安調查除了釐清「誰有權限」，還要進一步確認「這個權限被怎麼使用」。如果最終能還原資料的存取與匯出路徑，才能進一步判斷這起事件究竟涉及外部入侵、帳號遭濫用，還是內部資料外洩。

而更令法務部高層憂心的是，根據矯正署統計資料，目前全台監所收容受刑人總數高達6萬多人，若最終證實本案是內鬼竊取受刑人資料，難保後續不會出現規模更大的受刑人個資外洩風暴，已指示矯正署盡速提升資安防護，同時盡速強化相關防弊作為。記者發稿前追蹤瀏覽駭客情資交換平台「義群資料-頂尖」，發現該頻道已遭社群封鎖，研判有關單位已出手防堵犯罪集團透過這個管道販賣台灣受刑人個資。