在数码时代，消费者无论是在实体店或网上购物、注册会员、订机票、接受远程医疗问诊，还是向电信商申请开通手机线路，或多或少都得提供一些个人资料。这些资料一旦交给第三方，就意味着可能储存在不同的系统或云端平台，面临潜在的外泄风险。
近日，本地接连传出多起数据外泄事件。先是新航因第三方订票系统遭未经授权访问，导致部分乘客资料外泄；紧接着，电信商M1与远程医疗平台Doctor Anywhere也相继披露数据泄露事件，消费者的个人资料安全再次受到关注。
数据外泄可能只是风险的开端，真正让受害者蒙受金钱损失、名誉受损，甚至卷入法律纠纷的，是不法分子随后利用外泄资料实施的“二度侵害”（secondary exploitation），例如诈骗或身份冒用。因此，消费者不能只关注资料是否外泄，更应及早采取防范措施，避免成为后续诈骗的受害者。
所谓“知己知彼，百战百胜”，要防范二度侵害，就得先了解数据外泄后可能带来的各种后续风险。根据美国国家标准与技术研究院（NIST）及国际信息系统安全认证联盟（ISC2）的网络安全相关资料，外泄的个人数据可能被不法分子长期保存、转卖或重复利用，带来持续的诈骗及身份盗用风险。
无论外泄事故是近期发生，还是早已过去多时，谁也无法预知二度侵害会在何时降临，因为不法分子可能随时拼凑这些新旧资料，向当事人发起诈骗或冒用身份。其中，首当其冲的是“精准钓鱼”，不法分子利用窃取到的真实信息如个人行程、医疗记录或身份证号码，冒充可信机构或相关人员实施网络钓鱼，使诈骗信息更具可信度，增加当事人受骗的风险。此外，不法分子也可能冒用受害者身份，在审核较宽松的平台开设账户，进行未经授权的网购消费，甚至尝试申请贷款，令受害者面临财务损失及身份被盗用的风险。
其次是密码外泄后所引发的连带失守。若在多个应用复用同一套密码，一旦某个账户失守，不法之徒便有机可乘，通过自动化程序，利用泄露的密码登录用户名下的其他网络平台。
国际信息系统审计和控制协会（ISACA）的网络安全相关资料强调，面对数据外泄事件，及时遏制风险、强化安全防护及减少损失至关重要。既然外泄资料可能已落入不法分子手中，防御重点就应放在加固现有防线，保护重要账户与资产，防止损失进一步扩大。
要构筑更全面的防线，公众可从以下四个层面着手：
启用绑定个人设备的Passkey
第一，建立“零信任”核实习惯，识破量身定制的钓鱼诈骗。即便对方提供正确的个人行程、看诊记录或身份证号，依然必须提高警惕。网络安全专家普遍强调带外认证（out-of-band authentication）——凡涉及账户异常、退款或协助调查的紧急要求，切勿直接透露相关信息，或点击电邮和短信内附的链接、二维码或附件，转而通过官方应用或自行查阅官网热线，主动求证。
第二，避免“一码多用”，不要到处重复使用同一组密码，建议借助密码管理器为各平台生成独立密码。若平台支持，优先启用绑定个人设备的通行密钥（Passkey），或开启双重认证（2FA）。以本地常用的Singpass为例，如今也支持通行密钥功能。它利用手机生物识别进行加密验证，彻底淘汰传统密码。由于通行密钥只对官方真实网址生效，即便误点高仿钓鱼链接，假网站也无法启动验证，不法分子无从套取任何登录资料。
第三，善用政府与银行提供的防诈工具。公众可考虑在手机上安装 ScamShield，协助拦截可疑来电、识别及过滤欺诈短信，安装后按照指引，在手机系统设置中开启来电拦截和短信过滤权限，否则防护功能不会生效。如果收到可疑的短信、电话号码或链接，可以用ScamShield应用内的“Check for Scams”功能核实WhatsApp和Telegram上的可疑信息，也可以截图提交。此外，本地不少银行的手机应用提供Money Lock（资金锁定）功能，让用户把指定金额的存款“上锁”隔离。一旦锁定，这笔资金便无法通过网银、手机银行或PayNow转出，解锁方式因银行而异——即便日后不幸误信精准的钓鱼信息或遭恶意软件劫持，被锁定的这笔钱也无法轻易被远程转走。
第四，开启手机自带的防护设置，并掌握异常黑屏的应急步骤。在手机设置里关闭“安装未知应用”的权限，可以阻挡来自网页或通信软件的非官方安装包。误点不明链接或装了可疑程序后，若手机黑屏，无法操作，立即开飞行模式或长按电源键关机，同时用别人的手机联系银行，启动“紧急关闭开关”（kill switch）冻结账户，并尽快报警。
全面数码化与云计算是现代社会的必然发展趋势。在企业持续强化供应链安全与履行数据保护责任的同时，我们个人的当务之急是提高防范意识，主动采取措施保护自己，避免沦为次生诈骗的受害者。
作者是高级网络安全工程师
