號稱「不可能被破解」的台北捷運悠遊卡，前年遭敦陽科技資安顧問吳東霖破解，士林地院昨以他意在破解技術而非牟利，依變造電子票證罪判刑2年，緩刑5年，賠償悠遊卡公司100萬元，並向檢方指定的機構，提供240小時的電腦資訊教育訓練。
判決書指，敦陽科技資安顧問吳東霖（23歲）前年5月間，找到破解悠遊卡加密的程式，自製感應線圈，將3張悠遊卡儲值金額各改為9000元（儲值上限）。
吳出庭稱是「道德駭客」，意在破解悠遊卡資安漏洞而非牟利。
合議庭指出，吳某動機雖是探究悠遊卡加密機制，卻選擇魯莽擅自變造，而不主動告知悠遊卡公司，但審訊中表達悔意，做出以上判決，共犯江俊達被判1年2月，並支付10萬元給悠遊卡公司，緩刑4年。
自個資法於去年10月上路以來，至今仍有不少公、私立機構在心態、做法上無法自我調適。過去就曾經發生過，網站經營者對於接獲使用者協助回報有安全漏洞卻毫無回應或改善，等到因該資安漏洞引發個資外洩問題時，網站經營者反而將責任全部推給「駭客入侵」。
事實上，按個資法第二十七條第一項規定：「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」因此，持有個資的企業或網站經營者，依法都負有重大的保管責任。
其次，個資法第二十九條第一項也規定：「非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。」所以企業或網站經營者若經證明曾接獲資安漏洞通報，卻因故而沒有進行改善措施而導致所存之個資洩漏的話，就並非僅憑「駭客入侵」即能推卸未妥善保護個資的責任了。
發表文章
