私隱專員公署於二零二六年十月證實，本月先後接獲香港航空、友和香港及百老滙攝影器材的資料外洩事故通報，合共涉及超過一千六百名市民的個人資料，並已展開調查；受影響乘客與客戶其後接獲懷疑詐騙來電。來源真實性已核對香港電台即時新聞中文及英文報道所引述的公署說法。

私隱專員公署／港台：香港航空、友和、百老滙資料外洩——合共逾一千六百人；乘客客戶接懷疑詐騙來電；署方已展開調查

香港市民近日反映，接獲自稱航空公司或電器零售商客服的來電，對方能說出部分個人資料，並以航班取消賠償或包裹損壞退款等藉口誘使轉帳。香港電台二零二六年十月二十七日報道，個人資料私隱專員公署證實本月分別收到香港航空、友和香港及百老滙攝影器材的資料外洩事故通報，合共涉及超過一千六百名市民的個人資料，署方已展開調查。本文事實核對自港台中文稿及同日英文稿所引述公署公開說法，不轉載任何受影響個人的識別資料。

一、三宗通報與已知影響規模

技術細節

根據港台引述公署的說法：

香港航空：涉及八百一十五名於二零二六年九月二十九日至十月二十二日期間出發的乘客；可能外洩的個人資料包括姓名、電話號碼、航班日期、航班編號及航線。
友和香港：涉及七百九十名曾於九月二十九日至十月十二日期間落訂單的客戶；資料包括姓名、電話號碼、送貨地址、訂單編號及購買產品詳情。
百老滙攝影器材：公署於十月二十六日再接獲資料外洩事故通報；英文港台稿確認通報方為 Broadway Photo Supply。公開報道未列出該宗受影響人數的精確總數，故本文不臆測。

八百一十五加七百九十已逾一千六百；加上百老匯一宗，公署以「超過一千六百名市民」概括三宗合計影響。截至報道當日（港台英文稿稱截至星期一），公署就上述事件共接獲二十三宗投訴及二十宗查詢。

多家本地媒體另引述公署回覆查詢時指出，港航通報約於十月二日、友和約於十月五日入稟公署機制；騙局手法包括訛稱航班取消可安排賠償，或包裹損壞可安排退款，與外洩欄位（航班資料、訂單與送貨資料）高度吻合。本文以港台引述為主，不以二手轉述增補未經公署確認的數字。

二、技術原理深度解析

此類事故的技術核心，通常不是單一「駭入網站首頁」，而是客戶生命週期資料在航司／電商後台、客服系統、物流對接或外判環節中被未授權存取或複製，再流入詐騙話術所用的名單。

一旦攻擊者或非法買家同時掌握「姓名＋電話」以及高可信度的業務上下文（航班日、航線、訂單編號、送貨地址、購買貨品），社會工程成功率會明顯高於冷呼叫：受害人更容易以為對方是真客服，因而在電話中確認更多資料，甚至按指示「驗證銀行帳戶」或預付「手續費」。

從資安控制角度看，這指向幾類常見缺口：

身份與存取：客服／倉務／外判帳號權限過寬、共用帳密、欠缺多重要素驗證或異常登入告警。
資料最小化與留存：訂單與航班明細在完成服務後仍長時間以明文可匯出形式存放；測試／報表環境複製了生產級個人資料。
供應鏈與對接：物流、支付、CRM、外判客服 API 的憑證外洩或過寬查詢介面。
偵測與通報：未能在異常大量匯出或非常規查詢時即時觸發告警，以致市民先收到詐騙電話，機構才進入私隱條例下的事故通報流程。

《個人資料（私隱）條例》下，資料使用者須確保個人資料的保安，並在發生外洩時按公署機制評估通報與通知受影響人士。今次公署已公開確認接獲通報並展開調查，具體是否構成違反保障資料原則，仍待調查結果，本文不作預斷。

三、日常應用場景

1. 開發者與技術團隊

若系統處理航班、電商訂單或門市會員，應假設「姓名＋電話＋業務上下文」一旦組合外洩即可被武器化。實務上應：以角色為本收緊後台查詢；對大量匯出、非常規 IP、非辦公時間存取加監控；訂單與航段等敏感欄位加密存放並審計讀取；測試環境使用假資料。事故演練要包含「市民已接詐騙電話」的外部訊號，而不只看防火牆日誌。

2. 企業與隱私敏感行業

航空、零售、物流與金融一樣屬高詐騙跟進風險行業。企業應檢視外判客服與物流夥伴的合約保安條款、存取日誌與事件通報時限；對退款／賠償流程設「永不要求客戶預付保證金或透露網銀密碼」的硬性話術與內部稽核。接到類似投訴時，應同步啟動私隱事故評估、客戶警示與警方協作，而不是只在社交平台「譴責冒認」。

3. 一般用戶

公署提醒：即使來電者能說出你的個人資料，仍應先透過商戶官方網站、官方客戶服務熱線或親身到門市核實身分；商戶處理賠償或退款一般不會要求預付「保證金／手續費」或以轉帳驗證銀行帳號；切勿披露網上銀行帳號及密碼；保留來電號碼與對話紀錄以便舉報。可用警方「防騙視伏器」查核可疑號碼或網址。若懷疑個人資料被盜用並涉刑事罪行，應報警；亦可向私隱專員公署查詢或投訴。

4. 香港與亞洲市場視角

香港作為航空樞紐與密集電商配送市場，航班與訂單資料同時具備高時效與高辨識度，極易被轉化為本地語言詐騙劇本。類似「外洩後數小時內接到退款電話」的市民投訴（本地媒體有broadway 相關個案報道）顯示，攻擊鏈的「變現」可以非常快。對在港營運的數碼業務而言，合規通報只是底線；更關鍵的是把個人資料當成可直接兌換金錢的資產來做零信任與最小權限設計。

四、專業評價與潛在考量

優勢（監察機制層面）

公署公開確認三宗通報並展開調查，有助統一事實基礎，減少僅靠社交平台傳言的資訊真空。
港台等公共廣播引述具體人數與資料欄位，方便受影響時段的乘客／客戶自我核對是否屬高風險群組。
防騙指引與「即使對方知悉你的資料也不等於對方是真客服」的訊息，切中社會工程核心。

需要留意的地方

百老匯一宗的受影響人數與根因尚未在港台稿中量化，不宜把「逾一千六百」誤解為已含該宗全部精確人數。
公開資料暫時聚焦「接獲懷疑詐騙來電」與可能外洩欄位，入侵途徑、是否內部人、是否供應鏈尚未由公署定性。
企業公關若只譴責冒認而未能說明資料外洩調查進度，難以重建客戶信任。
市民端即使提高警覺，仍無法消除已外洩資料在黑市的長期再利用風險，機構端的憑證輪替、日誌取證與通知義務同樣關鍵。

結語

港台引述私隱專員公署的說法顯示，香港航空、友和香港與百老滙攝影器材本月接連通報資料外洩，已知影響超過一千六百名市民，並已出現針對航班與訂單情境的懷疑詐騙來電；署方已就三宗事故展開調查。對香港企業而言，這不是「遙遠的海外資安新聞」，而是本地客戶資料一旦與業務上下文一併外洩，即可在極短時間內轉化為電話詐騙的現實案例。

若你的團隊正在加固雲端工作負載、零信任存取與事故應變，可參考 YSK Limited 的雲端遷移與網絡安全服務（公開標示百分之九十九點九九 SLA）：https://ysk.hk/services/cloud-security

參考來源

香港電台即時新聞（中文）：https://news.rthk.hk/rthk/ch/component/k2/1875456-20261027.htm
香港電台即時新聞（英文）：https://news.rthk.hk/rthk/en/component/k2/1875475-20261027.htm
YSK Limited 雲端遷移與網絡安全：https://ysk.hk/services/cloud-security