六福證券網絡保安不足遭證監會罰210萬元

證監會譴責六福證券（香港）並處以罰款210萬元，原因是該公司沒有實施足夠及有效的網絡保安監控措施，從而可能導致六福證券無法抵禦勒索軟件攻擊，並令其系統從該網絡攻擊中全面恢復的時間延誤約三星期。

證監會指，2022年9月19日的勒索軟件攻擊對六福證券的關鍵資訊科技基礎設施造成廣泛干擾，影響了檔案伺服器、網域控制器、電郵伺服器、交易應用程式伺服器及會計伺服器。六福證券分階段恢復其系統，而有關過程直至2022年10月7日才完成。

在恢復期間，六福證券的客戶無法透過該公司的流動交易應用程式或互聯網平台進行交易，只可透過他們的客戶主任發出交易指示。

證監會在六福證券主動報告一名黑客利用該公司的遙距接達系統入侵其伺服器的事故後展開調查，發現六福證券的網絡保安政策及系統存在多項缺失。這些缺失令六福證券較易受到網絡攻擊，並導致該公司從該事故中恢復的時間延誤，缺失共七點，包括缺乏防火牆保護及足夠的網絡監控；過時的作業系統及防毒軟件；對使用者接達及特權帳戶的監控措施薄弱；密碼管理手法欠佳，例如將憑證儲存於未加密的檔案中；對遙距接達及外置裝置的監控措施不足；欠缺為職員而設的定期網絡保安意識培訓；及數據備份及業務延續安排不足。

鑑於上述調查結果，證監會在斷定六福證券沒有全面遵守適用於其受規管活動的網絡保安規定後，認為該公司犯有失當行為。六福證券的系統性缺失反映該公司未能符合多個框架所規定的基本網絡保安要求，亦是導致該公司無法抵禦該事故及其影響如此嚴重的主因，因而損害了該公司的客戶利益及營運穩健性。＠