医管局外泄病人资料｜事件「不涉网络攻击」？专家质疑「语言伪术」：外判系统维护工作也要负责任

更新时间：10:27 2026-04-06 HKT
发布时间：10:27 2026-04-06 HKT

医管局近日发生病人资料外泄事件，逾5.6万名九龙东医院联网病人的姓名、身份证号码、手术内容等敏感资料，被上载至暗网。医管局前九龙东联网总监陆志聪今早（6日）在商台节目形容事件严重且不可接受，促局方从速做两件事：尽快通知所有受影响人士；全面检视系统漏洞，包括承办商在风险处理上的要求。

就医管局事发后回应指，事件不涉及网络攻击等因素，软件及应用程式安全研究员赖灼东在同一节目质疑说法属「语言伪术」，直言现时黑客已「睇实」香港不同机构外判营运商的工作，系统一有问题就会立即攻击，即使不是攻击机构的主网，实际上都是针对机构所持有的资料。他强调机构将资料维护的责任外判给营运商，自己都有一定的监察责任。

前联网总监陆志聪：无法接受促尽快通知病人

曾任九龙东联网总监的陆志聪直言，看到新闻后第一个反应是「好严重」，涉及5万多个病人的资料，连身份证号码亦包括在内，「发生这种事，我就想，不可以接受」。他指出，当务之急是处理好首当其冲的受害人，即该5万多名病人。局方应尽快通知他们，并清楚交代被盗窃的具体资料，「新闻稿讲咗一句，但譬如有无我嘅地址、电话？呢个好似新闻稿就无讲。但如果我系𠮶几万个病人，我一定好紧张。」

对于泄漏原因，陆志聪同样对医管局的说法提出疑问。他留意到新闻稿提及泄漏的档案是「原档案」，认为情况奇怪，「如果你话一个原档案，重要系几万人嘅资料，其实呢个喺任何一间公司，我想都唔会容许一个职员可以去下载到。」他强调不单是下载，即使是「睇」本身已经不被容许。他解释，医管局内部员工接触病人资料有两大原则：「个病人系咪你照顾紧？」以及「你有无需要？」，两者须同时满足。因此，他难以想像为何承办商需要并可以接触整个「原档案」。

赖灼东斥医管局「语言伪术」黑客早已盯上承办商

对于医管局称事件不涉网络攻击，软件及应用程式安全研究员赖灼东认为是「语言伪术」，直斥说法「好闷」。他解释，网络攻击不一定是指攻击医管局的主核心网络，「我肯定自从数码港（资料外泄事件）之后，已经有一啲组织系睇住咗香港唔同嘅关键基础设施，或者重要嘅基建，或者银行等，然后睇佢哋有关嘅vendors（服务供应商），一路去扫瞄有无漏洞，一有问题就即刻去做嘢。」换言之，攻击者可能早已入侵了维护系统的承办商网络，静待机会窃取资料。

赖灼东又解释，「原始档案」通常是在系统维护或备份过程中，由营运商或维护人员将资料库整笔汇出而产生，档案可能十分庞大。他推断：「好明显就系个营运商『我想备份、做啲维护工作、将资料拎出嚟做测试』，就会有个原始档案出嚟。」问题在于，该档案有否在承办商的伺服器上做好保护设定，以及被谁人下载。

外判不等于免责专家倡设「跳板伺服器」

两位节目嘉宾均认为，医管局与承办商对是次事件有共同责任。陆志聪指出，外判服务时，尤其涉及敏感资料，必须做好风险管理。他质疑：「承办商有无需要去睇呢啲资料先？如果有，佢可以睇全部定系一部分呢？佢睇嘅时候，系咪每一次睇都要医管局方在场呢？」

赖灼东则提出更具体的技术建议，认为医管局及其他政府部门应采用「Jump Server」（跳板伺服器）作中介监控。所有承办商的维护工作，都必须先通过该伺服器才能接触到主系统，「所有营运商喺个跳板伺服器做嘅任何嘢，我哋见到，就已经可以阻止，停止咗，佢连抄嘅机会都无。」他指出，这种做法能实时录影、监察及截停可疑操作，而非事后在暗网公布才后知后觉。

赖灼东坦言，这种严谨的监察措施需要资源，但不排除仍有人因「贪图方便」而放宽权限。他总结，过去已多次发生类似因第三方服务商而起的资料外泄事件，形容「呢个套路一路去重复紧」，促请各部门反思，不能将责任完全外判，必须确保承办商的监管水平符合自身标准，并作定期高密度监察。

相关新闻：

医管局5.6万病人资料外泄方保侨：或涉临时帐号漏洞或内部员工泄密倡加密病人资料

医管局外泄病人资料｜数字办 : 高度重视事件吁市民提高警觉勿轻信陌生人

↓立即下载星岛头条App↓