世大运举办在即，目前已号召1.8万名的志工协助活动，然而近日北市府开始发放志工装备时，有人发现建置的志工装备领取网页“志工装备领取查询(2017volunteer.tk)”并未采https加密设计。且根据苹果日报报导，该网站的数据库亦有SQL injection漏洞，有心人可从漏洞取得1.8万名志工的相关资讯。
网站是志工好心做的
根据世大运发言人杨景棠的说法，该网站是由好心的志工协助建置，发生问题后已经紧急下架。装备领取网站是便于让志工了解何处可领取装备而设计，世大运志工管理运用处也表示，该网站仅能输入身份证字号后，取得个人领取装备的地点，并无其他个人资讯。
会发生这样的状况，乃因承包商同时处理其他重要事务，但这又是急迫性需求，因此由志工中心资讯管理设计网页。就算管理单为所言属实，从网页设计常理判断输入任何敏感性资料的网站大多会建议采https加密，就算有心人无法从中获得有利资料，但对志工而言仍是种保障。别让来自愿服务的志工有任何资安疑虑，应该是主办单位需要尽的基本责任。
消息来源：苹果日报
回应
0
