資安事件簡報 — Aurora Information

本頁為 Aurora Information 的個人資安簡報，並非官方公報或新聞機構網站。只收錄經政府部門、涉事機構或主流傳媒核實的勒索軟件／勒索及資料外洩事故。未經核實的暗網聲稱不會當作事實登載。本頁會持續累積已核實個案，較早紀錄不會因更新而被刪去。所有時間均以香港時間為準。

沒有符合所選分類或日期的已核實個案。

01 · 香港

近月已核實個案，以資料外洩為主

過去約一個半月，香港已公開確認的個案以資料外洩為主，涉及零售、珠寶、航空及考試服務。本輪整理並未見香港機構就新的勒索軟件攻擊作出正式確認；若僅見於暗網或威脅情報平台、尚未經機構或可靠來源核實的聲稱，本頁不作為事實登載。

資料外洩2026 年 11 月 12 日公布（香港時間）

崇光會員系統或影響約82萬人，周生生同日公布遭未經授權存取

私隱專員公署於 11 月 12 日接獲崇光通報，會員系統或影響約 82 萬人；周生生同日公布系統遭未經授權存取，客戶及員工資料可能已被提取。

個人資料私隱專員公署於 2026 年 11 月 12 日（香港時間）接獲崇光（香港）百貨通報，初步顯示會員系統於 11 月 5 日出現異常讀取紀錄，事故可能影響約 82 萬名會員的姓名、電郵、電話及積分。周生生集團同日向港交所公布，於 11 月 9 日首次發現系統遭未經授權存取，受影響系統包括會員系統及官方電子商貿渠道，客戶及員工資料可能已被提取，仍待進一步核實。

崇光百貨

可能受影響資料主要為部分會員號碼、姓名、聯絡電話、電郵及會員積分。公司已向相關政府部門通報，並展開調查。

周生生集團

上市公告指客戶及員工資料可能被提取。客戶資料可能包括姓名、電話、電郵、部分訂單資料及信用卡號碼最後四位；員工資料可能包括姓名、職位、公司電郵及聯絡電話。已通報私隱專員公署及警方。

來源：港台：崇光通報港交所：周生生公告《香港 01》：周生生聲明

資料外洩2026 年 10 月 30 日公布（香港時間）

國泰：第三方供應商系統遭未經授權登入，約5.3 萬宗預訂受影響

國泰公布第三方供應商 Amadeus 系統遭未經授權登入，約 5.3 萬宗預訂資料受影響，主要涉及乘客及航班資料。

國泰航空公布，於 10 月 28 日接獲旅遊科技公司 Amadeus IT Group, S.A. 通報，該公司系統於 2023 年 8 月至 2026 年 9 月期間曾遭未獲授權人士登入，存取約 5.3 萬宗預訂資料，主要涉及預訂參考編號、乘客姓名及航班資料。小部分個案亦涉及聯絡電郵、電話、旅遊證件資料或飛行常客計劃號碼。國泰表示，未有證據顯示財務或付款資料被不當存取，事件對國泰本身系統及營運並無影響。私隱專員公署表示，現階段尚未能確定其中所涉及的香港客戶數目。

港台報道

資料外洩2026 年 10 月 29 日發現，10 月 30 日公布（香港時間）

考評局：約 1.69 萬名國際考試申請人資料外洩

考評局發現約 1.69 萬名國際考試申請人資料外洩，包括姓名、出生日期及電郵；局方指文憑試系統目前未見受影響。

香港考試及評核局表示，10 月 29 日發現一宗涉及部分國際考試資訊系統的網絡安全事故，主要涉及約 1.69 萬名申請兩項國際考試、居住內地人士的個人資料外洩，包括姓名、出生日期及電郵地址。局方已報警及通報私隱專員公署。考評局指，涉事系統只用於個別小規模國際考試；香港中學文憑試及絕大部分國際考試的報考系統獨立，目前未有證據顯示文憑試或其他考試受影響。

考評局中文新聞稿港台報道

資料外洩2026 年 10 月 28 日發布（香港時間）

HKCERT：FortiBleed 2.0 再揭 FortiGate 設定及憑證外洩

HKCERT 警報指 FortiBleed 2.0 資料集含超過 10 萬筆帳戶及憑證記錄，涉及 FortiGate 設備設定與憑證外洩，並提醒不宜視為新一輪攻擊。

香港電腦保安事故協調中心（HKCERT）發出安全警報，指 FortiBleed 就 Fortinet FortiGate 防火牆及 VPN 設備憑證外洩的後續調查有新發現。稱為 FortiBleed 2.0 的資料集包含超過 10 萬筆帳戶及憑證記錄，並發現 975 個未出現於早前資料集的網域標籤。HKCERT 明確指出，上述筆數並不等同於獨立用戶、目前仍有效的憑證或新確認受影響機構數目；大部分來源檔案報告日期為 2026 年 2 月，不宜理解為新一輪攻擊。

HKCERT 安全警報

資料外洩2026 年 10 月 27 日起公開（香港時間）

香港航空、友和與百老滙電器接連外洩，私隱公署已開展調查

私隱公署已就香港航空、友和及百老滙電器的資料外洩通報展開調查；港航及友和已公布部分受影響人數，百老滙人數仍待確認。

私隱專員公署於 10 月確認接獲香港航空、友和香港及百老滙電器的資料外洩通報。港台 10 月 27 日首次報道時，港航涉及 815 名於 9 月 29 日至 10 月 22 日期間出發的乘客；友和涉及 790 名曾於 9 月 29 日至 10 月 12 日期間落訂單的客戶。私隱專員公署其後回覆《大公報》查詢時更新，截至 10 月 28 日港航影響 864 名客戶，截至 10 月 29 日友和影響 1,073 名客戶；百老滙受影響人數尚待公署與公司確認。公署已展開調查，並呼籲市民提防利用外洩資料發動的精準詐騙。

港台 10 月 27 日報道《大公報》：更新人數港台：私隱公署跟進

02 · 世界

同期重大事故，以已核實來源為準

以下為同期經機構、監管機構或主流傳媒核實的世界重大事故。勒索組織的單方面聲稱，若未經涉事機構確認，不會當作事實。

資料外洩2026 年 11 月 13 日下午 10 時 57 分（香港時間）

Uber 確認第三方供應商外洩，數千名司機駕駛執照資料被竊

Uber 確認技術供應商 Fireworks AI 遭入侵，數千名司機的駕駛執照資料被竊；公司尚未公布全球受影響總人數。

TechCrunch 報道，Uber 確認其技術供應商 Fireworks AI 於 10 月遭入侵，攻擊者竊取內部憑證後，存取了 Uber 保存在該供應商的部分資料。Uber 於 10 月 9 日接獲通報。據向美國多個州檢察長提交的通知，被竊資料包括駕駛執照資訊；僅馬薩諸塞州、南卡羅來納州及羅德島州已公開的人數分別為 2,567、3,430 及 1,873 人，加州及伊利諾伊州等地的數目尚待補充，總數預期會上調。Uber 並未公布全球受影響總人數。

TechCrunch 報道

勒索／資料外洩2026 年 11 月 13 日上午 9 時 53 分（香港時間）

Expedia 確認供應鏈攻擊；勒索組織聲稱尚未經核實

Expedia 確認遭供應鏈攻擊，攻擊者經第三方供應商進入其系統；勒索組織有關旅客資料的聲稱尚未經公司核實。

美國旅遊科技媒體 Skift 報道，Expedia Group 確認攻擊者透過遭入侵的第三方數據平台供應商，進入其系統，屬供應鏈攻擊，並影響多間公司。Expedia 並未公開供應商名稱、受影響資料種類或事故規模。勒索組織 n0n 聲稱竊取大量 Expedia 旅客及會員資料，但該筆數及資料範圍尚未經公司確認，不應視為已核實事實。

Skift 報道

勒索軟件2026 年 11 月 10 日下午 2 時 40 分（香港時間）

日本 Sanko Techno：越南附屬公司遭勒索軟件攻擊並有資料外洩

日本 Sanko Techno 披露越南附屬公司遭勒索軟件攻擊，約 898 人個人資料及約 1,348 家業務夥伴資料受影響。

日本上市公司 Sanko Techno（サンコーテクノ）於 11 月 10 日向東京證券交易所發出適時披露最終報，稱其越南附屬公司 SANKO FASTEM (VIETNAM) LTD. 遭第三方勒索軟件攻擊及未經授權存取。據該公司披露的整理，約 898 人的個人資料（包括姓名、地址、電話、電郵及身分證明文件等）及約 1,348 家業務夥伴資料受影響。公司稱已修正設定錯誤並恢復運作，並已向越南當局通報。

適時披露摘要

勒索軟件2026 年 10 月 7 日清晨約 2 時 40 分（香港時間）

日本 IDCF Cloud 遭勒索軟件攻擊，影響 495 間企業及自治體

軟銀旗下 IDC Frontier 確認 IDCF Cloud 於 10 月 7 日遭勒索軟件攻擊，影響 495 間企業及自治體；公司稱客戶資料並無外洩。

軟銀集團屬下 IDC Frontier 於 10 月 27 日發表調查結果，確認其 IDCF Cloud 服務遭勒索軟件攻擊。事故於 10 月 7 日日本時間凌晨約 3 時 40 分（香港時間約 2 時 40 分）在東日本 Region 1 發生。公司稱，攻擊者利用雲端管理門戶認證系統中開源軟件的漏洞取得未經授權存取，部分客戶虛擬伺服器遭關閉及加密，影響 495 間企業及自治體。調查認為，客戶虛擬伺服器內儲存的資料並無外洩。

IDC Frontier 英文調查公告 BleepingComputer 報道

網絡安全事故2026 年 10 月 26 日（美國山地時間）

美國新墨西哥大學醫療系統經歷網絡安全事件，曾短暫影響就醫

美國新墨西哥大學醫療系統於 10 月 26 日發生網絡安全事件，當日曾短暫影響救護車及門診；校方其後指核心系統未受入侵，亦未確認屬勒索或外洩。

美國新墨西哥大學醫療科學中心（UNM Health Sciences Center）官方稱，10 月 26 日發生網絡安全事件，當日曾短暫轉送救護車及暫停門診手術與預約。校方其後表示，評估認為事件影響部分終端裝置，但未侵入核心系統或伺服器；醫院於 10 月 27 日之前已恢復正常營運，校方亦稱並未與任何聲稱負責組織達成協議。校方並未在公開聲明中確認屬勒索軟件攻擊或已發生資料外洩；有傳媒報道有組織聲稱負責並指竊取資料，但此點尚未經校方確認。

UNM 官方更新

資料外洩2026 年 10 月 8 日報道

英國 ASOS 客戶資料遭竊，公司稱未涉密碼及銀行資料

BBC 報道英國 ASOS 客戶資料遭竊，包括姓名、地址及聯絡資料；公司稱密碼及銀行資料未被存取，亦未公布受影響人數。

英國廣播公司（BBC）報道，時裝零售商 ASOS 向客戶更新，稱黑客已取得較早前所說「基本聯絡資料」更詳細的客戶檔案，包括姓名、地址、電話、電郵、客戶編號、出生日期及網站搜尋紀錄。ASOS 表示密碼及銀行資料並未被存取。公司稱，攻擊者透過冒充受信任聯絡人，取得員工帳戶憑證後下載資料。ASOS 並未公開受影響客戶總數。

BBC 報道

資安事件簡報勒索與資料外洩