电信续约服务网页传个资漏洞，远传证实并发现少数不当存取个案

今日（10号）早上苹果日报报导，有民众投诉远传499续约简讯中的网址存在漏洞，根据该民众的说法，由于网址后方竟带有用户的手机号码，因此可以不用高深的技巧，只要变更连结的手机号码，再透过浏览器本身的网页开发人员工具，就能检视网页后台资料，轻易窥探他人个资。

对此，我们检视过去远传发送的499活动简讯，网址其实没有没有附上手机号码，例如：https://fetnet.tw/UNOoRgXXXX。不过，以这次该民众投诉的内容来看，简讯中的网址末端则是用户的手机号码   https://www.fetnet.net/estore/renewal?SSO=09XXXXXXXX，一般民众若直接前往这样的连结，其实会跳转回远传电信官网中，我的续约专属优惠的首页，若是已登入远传官网，则可以看到像是身份条件暂时无法续约的提示，推测只有符合续约专属优惠的用户受此漏洞影响。

为确认详细状况，我们在中午询问远传电信，他们的官网是否存在这样的弱点，以及修复的状况，而对于影响范围，也是民众关心的焦点，是否只有符合续约专属优惠的用户才受到这次弱点的影响，还是所有用户都受影响？

到了今日傍晚，远传回应了我们，提供了他们的正式声明，当中证实了此事。

根据远传的说明，他们已经将续约简讯的客制化服务关闭，虽然没有提到有多少用户个资可能暴露，但表示已经清查过去是否有不当存取的事件，发现少数个案，不过没有提到这些个案存取了多少的用户资料，只说明会联系这些客户，并将配合警政单位调查。

另外，他们也说明了这项简讯续约的设计，是他们提供让特定用户本人，能以特定连结登入后，能够看到自己的资料，方便续约。

不过，对于这项机制，后续他们提到，“但是的确疏于防范有心人士，透过其个人电脑背景找寻系统破绽去查看其他消费者的资料”，因此他们表示已在检讨改进。

从上述说法来看，提醒了民众不要尝试非法存取，然而，另一方面，以网站安全而言，外部使用者本应无权检视该页面内容，看起来，网站本身可能只有在第一次验证身份，但未能在每个功能或页面的存取都有验证机制，因此，网页可能存在无效存取管控的弱点。

今日傍晚，远传已经表示将续约简讯的客制化服务关闭。当中午我们前往该网址时，都还可以看到网页的内容（如图左），到了傍晚则发现该网页已经处于系统维护状态（如图右）。