考評局／官方：國際考試資訊系統網絡安全事故——約1.69萬名內地居住申請者姓名、出生日期及電郵外洩；文憑試暫未見受影響

重點摘要

香港考試及評核局於二零二六年十月三十日就一宗涉及部分國際考試資訊系統的網絡安全事故報警，並通報個人資料私隱專員公署。事故於十月二十九日被發現，主要涉及約一萬六千九百名申請兩項國際考試、居於內地人士的個人資料外洩，範圍包括姓名、出生日期及電郵地址；文憑試與絕大部分其他國際考試報考系統獨立，目前未有證據顯示受影響。本文核對自考評局中英文新聞稿，來源真實性已驗證。

考評局／官方：國際考試資訊系統網絡安全事故——約1.69萬名內地居住申請者姓名、出生日期及電郵外洩；文憑試暫未見受影響

香港考試及評核局於二零二六年十月三十日就一宗涉及部分國際考試資訊系統的網絡安全事故報警，並通報個人資料私隱專員公署。事故於十月二十九日被發現，主要涉及約一萬六千九百名申請兩項國際考試、居於內地人士的個人資料外洩，範圍包括姓名、出生日期及電郵地址；文憑試與絕大部分其他國際考試報考系統獨立，目前未有證據顯示受影響。本文核對自考評局中英文新聞稿，來源真實性已驗證。

考評局／官方：國際考試資訊系統網絡安全事故——約1.69萬名內地居住申請者姓名、出生日期及電郵外洩；文憑試暫未見受影響

考試與評核機構同時保管考生身分、聯絡與報考紀錄；一旦「小規模」系統失守，外洩的姓名、出生日期與電郵已足以支撐針對性釣魚與社工攻擊。考評局於十月三十日深夜以新聞稿交代跟進安排，並公開查詢熱線與電郵。來源真實性已驗證。

一、核心事件與官方表述

事故定性與時間

考評局中文新聞稿標題為「就一宗國際考試資訊系統網絡安全事故作出跟進」，英文稿為 “Cybersecurity Incident Involving Information System for International Examinations”。局方指今日（十月三十日）已就事件報警及通報個人資料私隱專員公署，並會全力配合警方與相關機構調查；事件於昨日（十月二十九日）被發現。

受影響範圍與資料類別

官方指事故「主要涉及約 16,900 名申請兩項國際考試的內地居住人士之個人資料外洩」，相關個人資料包括姓名、出生日期及電郵地址。英文稿同步寫明 approximately 16,900 individuals residing in the Chinese Mainland，資料類別為 names, dates of birth and email addresses。新聞稿未公布兩項考試名稱、攻擊向量、是否涉及勒索或資料是否已在外流傳，本文亦不作推測。

系統隔離與文憑試聲明

考評局強調，涉事系統只應用在個別小規模的國際考試；香港中學文憑考試（文憑試）和絕大部分國際考試的報考另設獨立系統，「目前未有證據顯示文憑試和其他考試受到影響。」英文稿亦寫 currently there is no evidence that the HKDSE or any other examinations have been affected。此隔離聲明屬官方現階段評估，後續仍須以調查結果為準。

受影響人士支援

局方向受影響人士致歉，並稱會採取一切可行措施減低影響；已設立查詢熱線 3628 8787 及電郵 [email protected]，亦已通報相關考試主辦機構，並正跟進通知受影響人士的安排。發現事故後已即時採取適當措施，對相關系統進行全面檢查及深入調查，以確定成因及影響範圍；並會繼續全面檢視各項資訊系統保安、加強防護與監察，因應調查結果採取後續措施。

二、技術原理與風險模型

為何「姓名＋出生日期＋電郵」仍屬高風險

三者組合並非支付卡或身份證明文件全文，但在實務上已足夠讓攻擊者偽造「考試主辦方／考評局／快遞／退款」釣魚郵件，或結合公開社群資料進行精準社工。出生日期常用作弱密鑰或客服核身欄位，外洩後會削弱依賴「知悉型」核身的流程。對跨境考生而言，電郵往往同時承接成績、准考證與帳戶重設連結，成為後續帳戶接管的入口。

「小規模系統」與爆破半徑

大型考試機構常見做法是把高流量的公開試（如文憑試）與量較小的國際／專業考試分拆到不同報考與後台系統，以降低變更風險與供應商耦合。此架構在正常營運時有助隔離；但「小系統」若共用身份目錄、備份管道、遠端維運入口或同一電郵發送基礎設施，隔離效果可能被削弱。官方現階段僅確認報考系統獨立、文憑試暫未見受影響，並未交代周邊身份或通訊元件是否共用，企業讀者不應把「系統分拆」自動解讀為「秘密平面已完全隔離」。

監管與事故通報節奏

香港《個人資料（私隱）條例》框架下，資料使用者在發生洩漏後，向私隱專員公署通報、報警、通知受影響人士與業務夥伴，屬常見事故治理節奏。考評局於發現翌日公開說明、公布熱線並通報考試主辦機構，屬對外可觀察的應變步驟；根因、取證範圍與是否需要進一步強制通知，仍有待調查與監管跟進。

三、日常應用場景

1. 開發者與技術團隊

若負責教育、考試、培訓或會員報名系統，應把「考生／學員主檔」視為高價值身分資料：生產與預覽環境隔離、管理介面強制多因素認證、對姓名／出生日期／電郵欄位做存取最小化與稽核日誌，並為批量匯出與報表下載設審批。電郵範本與寄件網域應防偽（DMARC／DKIM／SPF），避免事故後釣魚郵件更易冒充官方。

2. 企業與隱私敏感行業

學校、補習與跨境教育服務、人力資源與專業資格考試代理，若代管或轉傳考生電郵與出生日期，應盤點自身是否持有與本次重疊的資料集，並檢查員工是否已收到仿冒「考評局／國際試主辦方」的通知。金融、醫療與法律等行業可把此事件納入供應商事故劇本：第三方考試或認證平台一旦通報外洩，合約中的通知時限、取證協助與終止／隔離條款如何啟動。

3. 一般用戶

若曾透過考評局報考國際考試且居住於內地、並接獲官方通知，應只透過新聞稿公布的熱線 3628 8787 或 [email protected] 查詢，勿點擊來路不明的「重設准考證／補交資料」連結；同時提高對索取驗證碼、付款或远程桌面的來電／電郵警覺。即使未接獲通知，亦宜檢查電郵過濾規則與密碼是否與其他網站共用。

4. 香港與亞洲市場視角

香港作為國際考試與專業資格樞紐，考生資料常具跨境特徵；「系統只服務小規模考試」並不降低對受影響個人的滋擾成本，亦會牽動主辦機構、學校與家長的信任。亞洲教育科技與政府相關服務在擴充線上報名時，宜同步做資料分類（身分識別、聯絡、成績、付款）、按考試產品分割租戶或資料庫、以及事故後 24–72 小時內可對外說明的溝通模板。近期本地亦見支付與結算相關偽冒網站警示，顯示釣魚基礎設施活躍，外洩電郵名單的變現路徑並不遙遠。

四、專業評價與潛在考量

優勢

考評局在發現事故後翌日即以中英文新聞稿公開約 16,900 人的數量級、三類外洩欄位、報警與通報私隱專員公署、查詢渠道，以及文憑試／其他考試的隔離評估，資訊密度高於僅稱「正調查」的模糊聲明。明確列出熱線與電郵，有助減低仿冒客服空間。承諾全面檢視資訊系統保安並加強防護監察，為後續技術與管治跟進留下公開基準。

需要留意的地方

新聞稿未披露攻擊手法、入侵入口、兩項考試名稱、資料是否已被濫用，以及通知受影響人士的完成時間表；「目前未有證據」屬當下陳述，若調查擴大到共用目錄或備份，範圍可能調整。約 16,900 人已具規模，企業與學校側的釣魚防護與員工意識不能只等待根因報告。外洩欄位雖不含明文密碼，但足以驅動高仿真社交工程，受影響人士與相關機構仍須維持較長觀察期。

結語

考評局十月三十日披露的國際考試資訊系統事故，把「小規模系統」上的姓名、出生日期與電郵外洩推到公眾視野，並以文憑試獨立系統的說明劃出暫時邊界。對香港機構而言，重點不只是等待單一事件的調查結論，而是檢視報名、考生與會員資料是否按產品隔離、外發電郵是否可被驗證，以及事故通報與查詢渠道能否在數小時內對外一致。若貴機構需要在香港加固雲端工作負載、身份與資料庫的網絡安全基線，或就事故後架構覆核取得實作支援，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章