【懶人包】
5 點看懂本篇重點：
-
英國法律援助署證實，去年4月的網路攻擊導致大量個資外洩，其中最早的資料可追溯至1978年，橫跨近50年。
-
攻擊發生後，英國接連爆發零售業資安事件，瑪莎百貨、哈洛德百貨、Co-op超市都曾受害，相關攻擊被認為與DragonForce勒索軟體有關。
-
瑞典服飾業者H&M與英國服裝集團TFG London近日也傳出遭駭，H&M表示正在調查，目前未發現資料環境遭破壞的跡象。
-
TFG London旗下Hobbs、Whistles、Phase Eight三個品牌系統受影響，線上系統暫時下線，10月11日後的線上訂單將延遲交付。
-
英國政府10月12日宣布擴大運用AI強化資安防禦，試行計畫已在18個政府部門、548個程式碼儲存庫中找出1,352項漏洞。
英國近期深陷資安風暴。英國司法部轄下的法律援助署本週表示，去年4月的資安事件中，外洩的民眾及部分受刑者資料，最早可追溯至將近50年前，規模與時間跨度都相當驚人。
法律援助署是英國司法部旗下的執行機構，負責英格蘭和威爾斯的法律援助管理與提供事務。2025年4月23日，該署偵測到其線上數位服務遭到網路攻擊；同年5月，調查發現攻擊範圍超出最初認定，相信可能有大量個人資料外洩，本月正式公布外洩資料的規模與類型。
深入調查顯示，大部分外洩資料是2007年1月到2025年5月16日之間，向該署提出申請、索賠或付款的人士資訊，或是案件落在這段期間的相關資料。
另有近25萬筆是2007年以前的資料，其中絕大多數集中在1990年代到2000年代；另有很小一部分是1990年以前的資訊，其中經驗證外洩的資料最早可追溯到1978年。
該署特別強調，這不表示2007年以前申請過或接受過法律協助的人士資料全部外洩，呼籲外界不要過度解讀。
調查還發現，部分英國監獄和緩刑署的資料也在這起攻擊中外流，但其中不包含受害者資訊。至於外洩的資料類型則因人而異，該署也表示，目前沒有跡象顯示外流的資料遭到公布或分享給他人。
法律援助署事件並非孤例。去年該起網路攻擊之後，英國還接連發生多起重大資料外洩事件，包括瑪莎百貨、哈洛德百貨、連鎖超市Co-op等，相關攻擊被認為與DragonForce勒索軟體有關，背後策畫者可能是被稱為Scattered Spider、0ktapus、Octo Tempest或UNC3944的駭客組織。
近日又有服飾零售業者傳出遭駭。多家服飾品牌業者包括瑞典服飾業者H&M及英國服裝集團TFG London，近日傳出網路攻擊導致資料外洩，目前都已投入調查。
一名自稱ShinyHunters的人士宣稱取得H&M公司資訊，包括存貨記錄、邏輯資料、業務分析及管理分店與訂單交貨的基礎架構，並展示了部分資料，揚言若期限內未獲得H&M聯繫，將公開這些資訊。
不過另有分析認為，從該帳號的狀態及行為模式來看，行為者可能並非真正的ShinyHunters；也有分析指出，從其公開的檔案研判，外洩資料可能來自倉儲庫存管理平台GreyOrange，而H&M正是這家業者的客戶之一。
H&M對此表示正在進行調查，目前未發現其資料環境遭到破壞的跡象。同一事件出現宣稱者說法、業者否認與第三方分析三種不同版本，真相仍有待調查釐清。
另一方面，南非The Foschini Group本週向投資人發布公告，旗下英國子公司TFG London在10月11日發生網路攻擊事件，影響其部分IT系統，特別是Hobbs、Whistles及Phase Eight三個品牌，Inside Story及White Stuff則不受影響。
該集團表示，TFG London第一時間已採取回應行動防止災害擴大，但事件仍造成線上系統暫時下線，並提醒消費者，10月11日當天以後的線上訂單將延遲交付。實體店面仍然營業，且TFG南非及澳洲的系統與英國位於不同系統上，因此不受影響。
TFG London並未說明或回應這起事件是否為勒索軟體攻擊，以及攻擊者入侵的管道等問題，相關細節仍不明朗。
值得注意的是，就在上週，英國線上快時尚業者ASOS也證實遭到入侵，原因是員工憑證遭網路釣魚外流，使駭客得以從Snowflake系統竊取部分客戶資料，包括姓名及聯絡資訊。
面對一波接一波的資安事件，英國政府在10月12日宣布擴大運用頂尖AI模型強化資安防禦。在先前兩項試行計畫中，AI已協助找出並處理18個政府部門、548個程式碼儲存庫中的1,352項漏洞。
英國AI事務部長Kanishka Narayan在公開演說中指出，政府中央漏洞監控服務已將發現弱點後的修復時間，從50天大幅縮短至8天。接下來英國將擴大運用AI強化政府系統的資安防禦，優先處理高風險系統中的安全弱點。
隨著AI代理能在較少人工監督的情況下自主執行任務，這類系統也可能做出超出原有指令範圍的行為，甚至引發重大事故。為此，英國政府正與國家網路安全中心、AI安全研究所及相關部門，共同研擬AI代理造成嚴重危害時的應變措施。
在法規方面，英國政府考慮調整正在國會審議中的《網路安全與韌性法案》及相關制度，以因應AI網路攻擊與失控風險，加強醫療、能源及飲用水等必要服務的安全防護；同時研議如何通報AI相關事故，以及通報險些造成損害的情況，藉此汲取經驗、降低未來發生類似問題的風險。
從法援署橫跨半世紀的資料外洩，到零售業接連遭駭，再到政府擴大AI防禦，英國這波資安風暴顯示，網路攻擊的威脅已從單一機構擴散到民生消費與政府運作的各個層面，後續發展值得持續關注。
