多数媒体误报！铨叙部外泄个资并不含手机号码在内

铨叙部外泄59万笔公务人员个资，影响超过24万名公务人员的资安事件，因为包含许多国家情治人员的资料也在外泄清单中，行政院资安处亦将此资安事件定义为“第三级资安事件”，后续影响余波荡漾。

其中，有多家台湾媒体报导，此次外泄个资中，除了姓名和身份证字号外，还有个资当事人的手机号码。但iThome持续追踪后发现，这一个疑似手机号码的外泄个资，根据不具名资安专家推测表示，这组号码其实是针对外泄资料建立系统档案时常见的手法，“这其实是一个类似时间戳记的索引，并非外传的手机号码。”该资安专家说道。

铨叙部外泄个资的疑似手机号码，其实是一种时间戳记

这一份在网络上流传的铨叙部外泄公务人员个资中，确定的个资资料包括：姓名和身份证字号，其他还有包括该公务人员任职的机关名称、机关编号、职位编号以及职称等。如同一位现任公务人员所言：“这些个资其实是一种职务履历，主要是可以追踪公务人员的升迁与职务异动，但可作为他用的个资，仍以姓名和身份证字号为主。”

不具名资安专家表示，为什么会出现个资的资料笔数，最后比公务人员人数还多的情况，就是因为只要在2005年～2012年6月30日期间，公务人员有任何职务升迁异动时，每一次的职务异动，都会在该外泄个资的数据库中新增一笔资料。这就是为什么会出现有一些公务人员在该外泄数据库的资料中，会因为多次升迁而有多笔资料。

因为，只要有姓名、身份证字号如果加上手机号码，就可以完整追踪到当事人。因此，该名资安专家在掌握该分外泄个资后也发现，这个疑似手机号码的数值，其实和该笔资料建档的时间有高度关连性。也就是说，如果前面是0962xxxxxx，只要同时比对该笔资料的建档时间，就会是民国96年某月某日建档。

他也推测，这样的作法，应该是骇客在数据库建档时，会习惯性使用时间戳记作为数据库的目录及索引（Index）之用。他说，若同时比对到民国101年某年某月建档的资料时，原本疑似手机号码的字段，也会同步变成101xxxxxxx，就打破外界认为096xxxxxxx是外泄公务人员手机号码的疑虑了。

另外有资安专家提出疑问，骇客通常不会使用民国纪元，这一栏的数字疑似电子公文的编号。但iThome经与同时在此份铨叙部外泄个资名单中，但目前人仍在职的公务人员确认，-电子公文发函的公文编号格式不符，也与该名公务人员每一次职务异动时的铨叙部函号无关。

此外，外泄个资中，除了公务人员的身份证字号，其实也有另外一组小写英文字母开头、后面带有9个数字的“疑似身份证字号”，该名资安专家则推测表示，这串数字其实是建立该笔个资资料的使用者代号，因为数字格式和台湾身份证字号的格式类似，容易造成误解。

铨叙部公务人员个资外泄事件，列为-次严重的第三级资安事件

根据行政院公布的“资通安全事件通报及应变办法”规定，资通安全事件分为四级，第一级最轻微、第四级最严重，此次铨叙部外泄个资属于该法规定中“未涉及关键基础设施维运之核心业务资讯遭严重泄漏，或一般公务机密、敏感资讯或涉及关键基础设施维运之核心业务资讯遭轻微泄漏”的第三级资安事件类别。

依据“资通安全事件通报及应变办法”的规定，铨叙部除了要在获知个资外泄的36小时内，完成损害控制或复原作业后，应该持续进行资通安全事件的调查及处理，并于一个月内依主管机关指定的方式，送交调查、处理及改善报告。

由于目前铨叙部公务人员个资外泄的资安事件，已经由法务部调查局以及台北市调处立案调查中，行政院资安处处长简宏伟表示，基于侦查不公开原则，资安处不方便对此一资安事件有相关评论。