近年台灣的資安事件，從電商、票務到各種會員系統都出過事，這次輪到不少非營利組織共用的捐款管理系統。服務商網絡行動科技（netiCRM 的營運公司）11 月 11 日公布最新調查：遭入侵的是內部管理主機，不是客戶使用的 netiCRM 系統主機，目前沒有發現捐款人及支持者資料遭竊的跡象，但已把全部客戶主機納入檢查與重建。
如果你捐過款給公益團體，或是在非營利組織負責網站與捐款，這件事和你有關。我們來看看目前已經確認什麼、還沒確認什麼，以及該做哪些防備。
netiCRM 是什麼、發生了什麼
netiCRM 是非營利組織用來管理捐款與會員的系統，由網絡行動科技提供。依該公司執行長莊友欣 11 月 11 日的說明，目前服務 500 多家非營利組織。
事件的公開時間軸，整理如下（各單位對入侵時間的說法略有差異，見表後說明）：
| 日期 | 內容 | 出處 |
|---|---|---|
| 11 月 8 日晚間至 9 日凌晨 | 服務商部分伺服器遭外部攻擊者入侵；9 日凌晨切斷攻擊者連線、完成漏洞修補 | 台灣同志諮詢熱線協會公告（轉述服務商通知） |
| 11 月 9 日 | 多個團體接獲服務商通知，婦女新知基金會於晚上 10 時在臉書示警 | 各團體公告；iThome 報導 |
| 11 月 10 日凌晨 | neti.cc 短網址服務重建完成 | 服務商說明（iThome 轉述） |
| 11 月 10 日 13 時 03 分 | 向數位發展部完成資安事件通報 | 服務商客戶通報信（iThome 轉述） |
| 11 月 10 日 17 時 26 分 | 向臺北市警察局中山分局長安東路派出所報案 | 服務商客戶通報信（iThome 轉述） |
| 11 月 11 日 | 執行長從服務、資料、處理進度三方面說明最新調查 | iThome 報導 |
入侵時間在不同來源裡不太一致：熱線協會寫 8 日晚間至 9 日凌晨，財團法人中華佛教電子佛典基金會（CBETA）與開放文化基金會（OCF）寫 9 日凌晨，婦女新知基金會的貼文則提到 9 日傍晚。這些都是各團體轉述服務商的通知，服務商官網的事件說明頁（neticrm.tw/20261109-incident-update）我在撰稿時被網站的安全驗證擋下，無法直接讀取，所以精確時點以服務商官網後續更新為準。
事件曝光後，iThome 統計至少有 30 多個非營利組織發布警訊，其中公民監督國會聯盟已預防性暫停線上捐款與活動報名。
官方最新調查結果
依 iThome 對 11 月 11 日說明的整理，服務商的說法分三塊。
服務影響
- 遭入侵的是用來管理其他主機的內部管理主機，所以全部客戶主機都納入檢查與重建。
- 重建期間，客戶網站與 netiCRM 服務可能暫時中斷。
- 服務商也強化了多項防禦措施，這些調整影響了服務的可用性與穩定性，目前仍在調整。
資料影響
| 項目 | 目前說法 |
|---|---|
| 已確認遭竊 | 服務商持有的客戶資料：組織聯絡人姓名、電子郵件、服務方案與帳務資料，以及客服紀錄 |
| 捐款人及支持者資料 | 調查尚未發現遭竊跡象，調查仍在進行 |
| 信用卡資料 | 熱線協會與 OCF 的公告都轉述，服務商不儲存信用卡資料，信用卡金流不在這次事件影響範圍 |
要留意的是「尚未發現跡象」不等於「確定沒有外洩」，服務商與各團體的措辭都是調查持續中。
後續風險與處理進度
服務商說明，被入侵的主機存放著管理系統的程式碼、參數與資料，攻擊者仍可能利用竊得的內容，進一步攻擊客戶網站與有弱點的主機，所以正在盡快修正遭竊的程式。
另外，部分攻擊來源指向客戶辦公室的 IP 位址，已通知相關客戶處理，服務商沒有進一步說明這些攻擊行為的細節。
已完成的項目包括系統隔離、辨識事件破口、更新所有外洩的金鑰、重建 neti.cc、掃描並更新所有客戶的寄信伺服器、更新管理帳號密碼。仍在進行的包括重建官方網站 neticrm.tw、尋求外部專家協助調查，以及各伺服器的異常監測。
捐款人與非營利組織現在該注意什麼
官方與各團體的建議
服務商建議非營利組織先在官網或社群平臺告知捐款人與會員：近期線上捐款、活動報名可能暫時無法使用，並發布防詐提醒。是否要向主管機關通報，則由各組織依適用法規、內部規定與和主管機關的約定判斷，不確定的話可洽詢主管機關或法律顧問。
多個受影響團體的公告給捐款人的提醒大致相同：
- 團體不會以「扣款失敗」「重複扣款」「系統設定錯誤」「退款」等理由，要求你操作 ATM、網路銀行或轉帳。
- 不會索取信用卡號、密碼或簡訊驗證碼。
- 不要點擊簡訊或 Email 裡的不明連結，不要在非官方網站輸入個資。
- 接到可疑來電先掛斷，改用團體官網上的電話或信箱查證；有疑慮可撥 165 反詐騙諮詢專線。
站長的看法
以下是我個人的判斷，不是官方說法。
捐款人這邊，我會特別提防「更新捐款收據」「補寄收據」這類訊息。收據是捐款人本來就會收到的東西，詐騙最容易借這個名目。收到時不要點連結，直接打開你平常捐款的團體官網，或打電話過去確認。
非營利組織承辦人這邊，後臺管理密碼建議換掉，如果跟其他系統共用過更要換。已有團體（例如 OCF、CBETA）更換了系統管理者密碼。另外，服務商提到攻擊者可能利用竊得的程式碼攻擊客戶網站，所以重建期間的通知，請留意服務商與外部專家後續給客戶的指示。
至於這次事件最後會不會證實有捐款人資料外洩，官方目前沒有結論，我也不做推測，等服務商與主管機關的後續說明為準。
參考資料與延伸閱讀
- iThome：netiCRM服務商最新調查指出是內部管理主機遭駭，暫未發現捐款人資料外洩，已將500家客戶主機納入檢查及重建範圍
- iThome：捐款人個資恐外洩！netiCRM服務商遭駭，公督盟、司改會等超過30個非營利組織接連示警
- 網絡行動科技（netiCRM）資安事件說明與處理進度：neticrm.tw/20261109-incident-update
- 開放文化基金會（OCF）：【重要通知】netiCRM 資安事件說明與防詐提醒
- 台灣同志諮詢熱線協會：系統遭入侵與防詐提醒公告
- 公民監督國會聯盟：捐款系統資安事件公告
- 財團法人中華佛教電子佛典基金會（CBETA）：重要公告｜netiCRM 資安事件及防詐提醒
發佈留言