报章专栏

个人资料私隐专员在「香港律师」的文章
公共Wi-Fi和公共USB充电的私隐风险 (2020年4月)

免费的公共Wi-Fi可以为互联网用户节省流动数据的使用量；公共USB充电站亦无疑为即将用尽流动装置的电池的人士提供很大的帮助。不过，当你享受免费Wi-Fi和公共USB充电服务带来的便利时，你又有否想过这些服务可能对你的个人资料私隐带来潜在的风险？

资料保安是《个人资料（私隐）条例》（《私隐条例》）的重要一环，并载于《私隐条例》附表1的保障资料第4原则（资料保安原则）。该原则订明，资料使用者须采取一切切实可行的步骤，保障持有的个人资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。虽然法例规定机构和企业须确保已交讬予他们的个人资料的安全，但资料当事人本身亦应对应用不同的资讯科技所可能带来的私隐风险保持警觉，一如他们会谨慎保存他们其他个人财产一样。

免费的公共Wi-Fi通常是一个开放的Wi-Fi网络，它容许公众在无须认证的情况下方便地连接互联网。换言之，任何人（包括恶意黑客）均可连接至同一个未经加密的Wi-Fi网络，对Wi-Fi用户的个人资料保安构成风险。

公共Wi-Fi的私隐风险

其中一种常见的安全风险名为「邪恶双胞胎」（Evil Twin）。作为网络攻击的一种形式，网络罪犯会设置一个「虚假」及恶意的Wi-Fi热点，并利用这个看似是真正而合法的接入点，引诱Wi-Fi用户连接他们的电子装置到这个假冒的Wi-Fi热点。之后，网络罪犯便可以读取Wi-Fi用户的网络数据传输，截取他们的短讯或电子邮件等通讯讯息，并盗取他们的个人资料。例如，黑客可以在邻近酒店的海滩上设置一个假冒的Wi-Fi网络，其标示名称与酒店提供的Wi-Fi网络名称相类似，一旦你连接到这个假冒的Wi-Fi存取点，你的资料就可能被读取、盗取或操控。

如没有使用加密的Wi-Fi网络，用户在其流动装置和Wi-Fi路由器间发送的个人资料便不再以「密码」形式传输。使用同一Wi-Fi网络的其他用户便可读取你的通讯资料。不安全的Wi-Fi热点还可成为一个媒介，让网络罪犯分发恶意软件，或容许电脑病毒或电脑蠕虫从其他受感染装置传送到Wi-Fi用户的便携式装置。网络罪犯更可截取Wi-Fi用户的敏感资料，如联络人资料、密码及个人账户资料等。他们甚至可锁定用户的便携式装置，导致装置死机。

使用公共Wi-Fi的实用提示

公共Wi-Fi毕竟不及私人（家庭）Wi-Fi安全，在连接到公共Wi-Fi热点时，采取以下预防措施可以提高个人资料的保安：-

• 检查公共Wi-Fi以确保其可信性；
• 不使用Wi-Fi服务时关闭Wi-Fi功能；
• 使用Wi-Fi服务后，从「惯用网络」设定中删除，以避免将来会自动连接；
• 使用虚拟私有网络（Virtual Private Network），通过建立私人网络，把一些在流动装置和网络之间传送的资料进行加密，从而防止黑客读取或接触这些资料；
• 在进入网站时，使用保密插口层（Secure Sockets Layer）「https://」，以便电子银行帐户、电子邮件和社交网络帐户等敏感资料可以被加密，而不被截取；
• 确保手机或其他便携式装置受到防火墙和反恶意软件的保护；
• 替流动或其他便携式装置安装已提供的更新软件，以解决保安漏洞；以及
• 避免透过公共Wi-Fi传输敏感的个人资料。

另一方面，越来越多公共USB充电站出现在机场、火车站、商场和咖啡馆等公共场所，当中一些充电服务可以在付费后获得。不过，使用公共USB充电站服务的用户在给手机充电时，需留意「USB充电站诈骗」（juice jacking）的风险。

公共USB充电的私隐风险

「USB充电站诈骗」是一种网络攻击形式。黑客透过在公共场所设置假充电站，进行对流动装置的攻击。 「USB充电站诈骗」有两种常见的类型，第一种类型名为「资料窃取」，即通过假充电站从流动装置偷取敏感资料；第二类是恶意软件安装，被设定程式的充电站会在已连接的流动装置上安装恶意软件，以便持续地收集不同类型的个人资料，甚至在解除与流动装置的连接后遥距控制流动装置。

使用公共USB充电时的实用提示

为保护流动装置及保障最终储存在装置内的个人资料不会因「USB充电站诈骗」的网络攻击而被窃取，用户使用公共USB充电时可参考以下一些实用建议：

• 验证电源并直接使用交流电源插座为流动装置充电（而不是使用USB）；
• 自备只供充电的电线以防止资料从流动装置与公共充电站之间往来传输；以及
• 使用自备的外置充电器，而不是透过公共充电站为流动装置充电。

我们在享受这些「智慧」措施为日常生活带来方便的同时，对个人的资料私隐和潜在的私隐风险保持警惕尤其重要，以免这些私隐风险导致你的个人资料被滥用作欺诈等非法行为。