教育界網絡安全，不能再停留在「建議措施」

陳靖龍（Chris Chan）

Dracosec Research Limited CEO｜BSides Hong Kong Founder｜OffSec Hong Kong Chapter Ambassador

浸大勒索軟件事件

八月十日，勒索軟件組織 The Gentlemen 在暗網洩漏網站把香港浸會大學連同另外十一個機構列入受害者名單，威脅情報平台 Ransomware.live 估計實際攻擊日期為八月九日。同一平台顯示 hkbu.edu.hk 網域已被記錄多達 1,908 組憑證外洩；Hudson Rock 的資訊竊取程式（Infostealer）偵測數據則指涉及約 130 個員工帳戶、1,778 個用戶帳戶及 260 組第三方登入憑證。

須說明，上述數字全部來自第三方監測平台，浸大至今未確認任何系統遭入侵或資料外洩。值得留意的是時序：八月十二日，個人資料私隱專員公署表示仍未接獲校方的資料外洩通報，已主動聯絡浸大了解事件；直至八月十六日，校方才公開交代相關網頁內容已被移除，並已委聘專業機構全面檢視資訊科技系統及個人資料的安全狀況，承諾如發現資料確實外洩會適時公布。

以我在事故應變（DFIR）前線的經驗，攻擊後最初七十二小時資訊真空是常態。但正因如此，這宗事件更值得放大來看：當一間有規模、有專責 IT 團隊、有預算的教資會資助大學，都需要一星期才能交代基本事實，我們憑甚麼相信全港上千間中小學做得更好？

而這並非孤立事件。五月，Canvas 母公司 Instructure 遭黑客組織 ShinyHunters 入侵，涉及資料達 3.65TB、全球約 8,800 間教育機構逾 2.75 億名用戶。香港有七間教育機構向私隱專員公署通報，包括理大、科大、城大、演藝學院、香港藝術學院、建造學院及香港教育城，累計逾 7.2 萬人受影響。浸大自身在 2025 年亦曾因 Moodle 一個學生帳戶被盜用而外洩資料。

三宗事件，三條不同路徑：個人裝置中木馬導致憑證外流、第三方 SaaS 供應鏈被攻破、自營平台帳戶被接管。 教育界面對的不是單一漏洞，而是整條攻擊面都在失守。

教育界是全球頭號目標

根據 Check Point Research 月度報告，教育界已連續多月成為全球被攻擊最頻繁的行業：2026 年七月，教育機構平均每周面對 4,848 次攻擊，按年上升 14%，高於排第二的政府界別（3,044 次）與第三的電訊界別（2,927 次），亦是全球各行業平均值（2,336 次）的兩倍以上。同一份報告指出，The Gentlemen 與 Qilin 並列當月最活躍的勒索軟件組織，各佔已公布攻擊的 14%。前者正是把浸大列入名單的同一批人。

更值得香港注意的，是七月下旬的兩份情報。

威脅情報公司 Group-IB 於 7 月 23 日發表關於中國背景組織「JadeProx」的調查。研究人員因對方一台跳板伺服器開啟了目錄瀏覽而取得其操作紀錄，發現該組織曾以掃描器對一份載有 14,653 條香港教育界相關網址的清單逐一掃描，並從中找出 13 個獨立漏洞，其後嘗試利用的四個 CVE 全部 CVSS 9.8 分。要說明的是，14,653 是掃描清單的規模，報告並未交代有多少次入侵嘗試成功。同一批基礎設施亦用於入侵越南一間公立醫院與馬來西亞外交部。

翌日，HKCERT 發出高危警報《針對香港教育界互聯網面向系統的多個漏洞》，指有威脅組織正掃描並利用本港教育界對外系統，可導致遠端執行程式碼、植入後門、竊取憑證並橫向移動。

警報列出的 CVE，最舊來自 2018 年，最新是 2022 年。全部早有官方修補程式，部分更已列入美國 CISA 的「已知被利用漏洞」目錄多年。

換句話說：香港教育界正被有系統地掃描，而對方用來入侵的，是我們五至八年都沒有修補的東西。

兩個真實案例

案例 1：E-learning Consortium School Pentest Project

2019 年，我在前公司 UDomain 任職滲透測試員期間，團隊承接了一個名為「E-learning Consortium School Pentest Project」的項目，為十間本地學校的指定系統進行滲透測試。先講清楚現實條件：時間非常有限，十間學校、各自指定範圍、共用一個緊迫窗口。這不是一次可以慢慢深挖的紅隊演練。

即使如此，我們仍在一個多間學校共用的電子學習平台上發現多個嚴重漏洞。經負責任披露後廠商完成修補，其中兩項獲發 CVE 編號：一個是管理路徑沒有做存取控制，直接以 GET 請求 /admin 便可跳過登入畫面（CVE-2019-9884）；一個是學生資料查詢沒有用參數化查詢，可注入攻擊字串讀取資料庫（CVE-2019-9885）。

我想強調的不是編號，而是它們的技術含量有多低。這是任何一本網頁安全教材第一、二章的內容。它們不是被高深技術繞過的防線，是根本沒有設防線。也正因為門檻這麼低，我們才能在極短時間內找到它們。攻擊者同樣可以。

而它們的殺傷力來自一條算術：一個漏洞 × 數以百計採用同一平台的學校 = 一次入侵拿下整個界別。 今年五月的 Canvas 事件就是這條算式的全球版。教育界對共用平台依賴極高，風險是高度集中的，而集中風險正是最需要監管介入的那一類。

但兩個編號，不等於我們當時發現的漏洞總數。

實際看到的問題遠不止兩個。最終只申請兩個 CVE，原因是項目時間所限，加上與廠商協商披露時的種種限制。公開紀錄上留下的兩行編號，是實際風險經過層層過濾之後的殘餘。

同一個項目裡，還有一個發現到今日仍然不能公開。我們在一個學校普遍使用的公用接口上找到漏洞。它不屬於自動化掃描器掃得出來的那一類，要靠人手理解業務邏輯才會浮現；它也不是一個「理論上存在風險」的評分項，而是一條有機會接觸到系統內個人資料的路徑。

它最終沒有進入任何披露流程，原因不是技術，而是合約結構。委聘我們的是學校，不是廠商；我們對學校負責，報告交給學校，學校沒有轉達給廠商，而我們受保密條款約束，不能越過客戶自行披露。結果是：廠商由頭到尾不知道有這件事。 在這個結構下，就算今天有人問它有沒有收過相關漏洞報告，誠實的答案也是「沒有」。而「沒有收過報告」，會被順理成章地讀成「沒有問題」。

這件事裡沒有壞人。學校依足合約收了報告，廠商沒收過通報自然無從跟進，我們依足保密條款行事。每一方都做了自己該做的事，結果仍然是一個沒有人跟進的發現。 那就不是操守問題，是流程缺了一段：在教育界的採購結構裡，做測試的人、收報告的人、有能力修補的人是三個互不隸屬的主體，而三者之間沒有任何法定連結。

七年過去，我不知道那個問題今天是否仍然存在。而這正是問題本身。 於是我們得到一個危險的假象：教育界的已知漏洞數字偏低，不是因為系統安全，而是因為通報鏈斷了。

金融業不會這樣。金管局 C-RAF 的評估結果須向董事會匯報並納入監管視野，保監局 GL20 更明確要求評估由第三方進行。教育界完全沒有這一層。一份報告可以合法地、安靜地躺在某間學校的檔案櫃裡，一躺七年。

案例 2：小學系統安全測試

另一次，客戶是本港一間小學。校方多年沿用三套系統處理校網與行政工作，存有歷年學生的住址、成績、家長職業，以及員工薪金與出勤紀錄。所有測試與修補必須在一個暑假內完成，因為開學就不能停機。

結果我至今記得。系統雖設有密碼，但團隊輕易取得管理帳號權限，可查閱全部敏感資料、修改資料庫內容，最終取得伺服器控制權。換句話說，如果先到的是勒索軟件組織而不是我們，這間小學會在開學前一星期失去全部學生檔案。

該校 IT 主任事後一句話，代表了整個界別的處境：就算身為 IT 人，日常工作中也未必能發現這些問題。 這不是能力問題，是崗位設計問題。一個人同時要管網絡、硬件、教學軟件、家長 App，還要幫老師處理投影機，我們不能期望他同時是保安專家。

反覆出現的四類問題

1. 沒有人知道自己有甚麼。 資產登記冊要麼不存在，要麼停在幾年前的 Excel。某年為校際比賽架設的伺服器、某學系開的雲端實例、外判商裝完就沒再管的儲存裝置，仍然在線、仍然對外開放，但已經沒有人負責。Group-IB 那 14,653 條網址掃出來的，正是這一類。

2. 外判商是最短的一塊木板。 行政、成績、校網、家長 App 幾乎全部外判，但合約往往沒有寫明修補時限、事故通報責任與分包安排，更沒有要求對方提供獨立安全評估報告。保安局局長鄧炳強的一句話值得整個界別記住：工作可以外判，責任不可外判。

3. 錯誤配置導致的靜默外洩。 這是我最常在「無意中」發現的一類：對外開放的目錄索引、未設存取控制的雲端儲存桶、被搜尋引擎收錄的內部文件、開發環境遺留的備份檔。裡面是學生名冊、身份證副本、成績表、家長聯絡資料、特殊教育需要紀錄。沒有人「入侵」過，資料已經在外面。

4. 身分邊界已經消失。 浸大事件的技術本質，很可能不是校園網絡被攻破，而是師生個人裝置中了資訊竊取木馬，瀏覽器儲存的校內密碼與 VPN 憑證被打包上傳、在暗網轉售。BYOD 之下學校對這些裝置幾乎沒有控制權；若沒有全面部署多重身份驗證（MFA）、沒有監察異常登入、沒有訂閱外洩憑證情報，這條路徑基本不設防。

值得補一筆：2020 年我曾與資訊科技教育領袖協會（AiTLE）合辦網上研討會，談停課期間的網上學習安全，當時香港教育城使用量較平日高出四倍。疫情把數碼化推快了好幾年，保安投入卻沒有同步推快。今日的攻擊面，很大程度上就是那幾年急速擴張、事後從未收拾的遺產。

以上種種，沒有一項需要高深技術去發現，也沒有一項需要巨額投資去修補。它們持續存在，是因為沒有人被要求去做，也沒有人需要為沒做而負責。

我們不是沒有指引，但都是自願性指引

要公道地說，香港並非一片空白：教育局 2007 年已發出《學校資訊科技保安指引》，2019 年 9 月更新為《學校資訊保安 - 建議措施》；數字政策辦公室 2025 年 4 月發布《基準資訊科技保安政策》；HKIRC 亦於 2025 年 8 月聯同 AiTLE、警方網絡安全及科技罪案調查科及 PwC 香港 DarkLab 推出《香港學校網絡安全指南》，配合免費的「網絡防禦一站通（Cybersec One）」提供檢測與風險評估。

這些都是好工作。但它們有一個共通點：全部是自願性質。 沒有基線要求、沒有驗證機制、沒有申報義務、沒有問責對象，也沒有與資源掛鈎。做與不做、做到甚麼程度，全憑校長與 IT 主任的個人意識。

這裡有一個很難迴避的事實。由 2007 年第一份指引算起，香港教育界已經行了十八年自願路線，前後四份文件。 而十八年之後的今日，教育界是全球被攻擊最頻繁的行業、是本地資料外洩通報中佔比最高的一類機構，並且被境外組織以一萬四千多條網址的規模逐一掃描。

我不是說這四份文件寫得不好。我是說，十八年已經足夠長，長到可以下一個結論：單靠自願，做不到。

對照之下，銀行有金管局 C-RAF，保險有保監局 GL20，而今年 1 月 1 日生效的《保護關鍵基礎設施（電腦系統）條例》（第 653 章），亦為能源、銀行、醫護、電訊等八個必要服務界別訂明法定責任與罰則。教育不在其中。

銀行同樣是黑客眼中的高價值目標，同樣重度依賴外判商，同樣持有大量個人資料。它與教育界最大的分別，不在於受威脅的程度，而在於有沒有人被法律要求去做，以及做完之後有沒有人來查。

這在法理上說得通：一間學校停課，不會像電網或醫院停擺般即時危害公共安全。但這條界線只計算「服務中斷」，沒有計算「資料損害」。學生的身份證號碼、出生日期、住址、家庭狀況、成績、特殊教育需要紀錄，一旦外洩就是終身的。信用卡可以換一張，身份證號碼不能。

制度上還有兩個缺口。其一，香港至今未有強制資料外洩通報機制。私隱專員公署雖已就修訂《個人資料（私隱）條例》提出建議，但尚未立法，這正好解釋了浸大事件中「公署要主動聯絡」的尷尬。公署 2025 年共接獲 246 宗外洩通報，按年升 21%，其中學校及非牟利機構佔 37%。這已是自願通報下的數字。

其二是人手。根據立法會資訊科技及廣播事務委員會 2026 年 7 月的會議紀要，本港約有 11.2 萬名資訊科技從業員，從事資訊保安的只有 1,587 人，不足 1.5%。在這個大環境下，要求每間學校自行養一個保安團隊並不切實際。上文那位小學 IT 主任的處境，就是這個數字的人肉版本。

海外怎麼做：把指引變成條件

英國的路徑，正好回答了「應否設立指引」這個問題。

中小學層面，英國教育部（DfE）於 2022 年發布《學校及學院網絡安全標準》、2024 年更新，明確列出 MFA、權限控制、資產登記冊、修補管理、離線備份等最低要求。關鍵在於：這套標準與教育撥款掛鈎，並在視學中被引用，Cyber Essentials 認證實質上成為最低門檻。指引因此不再是「參考」，而是條件。

專上層面，英國沒有硬性立法，而是由學界共同體 Jisc 提供集體防禦：2025 年成立界別專屬的保安營運中心（SOC），並每年以國家網絡安全中心的 Cyber Assessment Framework 為基礎進行「網絡安全態勢調查」，讓每間院校能與同儕比較成熟度。2024 年其會員機構處理了數以百計事故，其中 11 宗屬嚴重事故，成本估算約 200 萬英鎊。因為有量度，所以有數字；因為有數字，所以爭取到資源。

邏輯很清楚：中小學需要「明確的最低線」，大學需要「共享的防禦與可比較的基準」。 但兩者的共通點更關鍵：英國之所以做得動，是因為它把要求接上了撥款與問責，而不是靠院校自覺。

結論：需要的不是第五份指引，而是法規

教育界是否應該設立一套網絡安全指引？

我原本的答案是「應該」。但把上面的證據排在一起之後，我認為這條問題本身問錯了方向。香港教育界不缺指引，缺的是法定約束力。 再寫第五份文件，最可能的結果，是它跟前面四份躺在同一個資料夾裡。

所以我的建議是：由自願性指引，轉為具法定基礎的監管框架。 這不是要為難學校，而是承認一件事：在資源緊絀、人手不足的環境下，只有「被要求做」的事情才會排得上優先次序。這一點在銀行界已經驗證過一次。

一套教育界網絡安全監管框架，我認為應具備以下六項要素：

1. 分層設計，按規模比例規管。 幼稚園、小學、中學、專上院校的資源與風險完全不同，不能一刀切。建議分三層：

• Tier 1｜必須做：法定最低要求，不做即屬違規。

• Tier 2｜應該做：不遵守就要解釋，理由須存檔備查。這是香港上市公司企業管治守則行之有效的做法，既有壓力，又留有彈性。

• Tier 3｜可以做：良好作業與成熟度進階，供有能力的院校自行提升。

一間三十人編制的小學，只需對準 Tier 1，就有清晰起點；一間研究型大學，做到 Tier 1 只是及格。

2. 基線必須可驗證，寫得出條文才審得到。 例如：對外系統及行政帳戶百分百部署 MFA、高危漏洞 14 日內修補、備份離線保存並每年完成一次還原演練、日誌保留不少於 180 日。寫得出來，才審得到。

3. 把第三方風險變成合約義務。 由監管方提供標準條款範本，並列為採購的必要條件：修補時限、事故通報時限、分包披露、資料所在地、退出與資料移交安排，以及要求供應商提供獨立評估報告。從 CVE-2019-9884 到 Canvas，同一個教訓已重複七年。

4. 分清「掃描」與「測試」。 大學每年一次滲透測試加紅隊演練，中學每兩年一次配置審視加攻擊面掃描，小學由界別統籌集體採購攤分成本。要強調：自動化掃描不等於滲透測試。上文那個公用接口的問題，掃描器跑一百次都不會報出來。若指引只要求「每年做一次掃描」，交出來的會是一份合規文件，不是一份風險評估。

5. 打通通報鏈，並且要有法定時限。 這是我最想寫進去的一條。凡涉及第三方系統的漏洞，學校須於指定期限內轉交廠商，並副本知會統籌機構；同時應設立教育界的資訊分享機制（Education-ISAC），讓一間學校中招後，全界別短時間內收到指標。這一條靠自願是行不通的，因為轉交漏洞對學校本身沒有任何即時好處，成本卻由它承擔。沒有通報就沒有數據，沒有數據就永遠爭取不到資源。我當年那份報告死在檔案櫃裡，缺的正是這一條。

6. 與撥款及治理掛鈎。 最關鍵、也最容易被跳過。可考慮把 Tier 1 基線納入資訊科技綜合津貼（CITG）、資訊科技人員支援津貼（ITSSG）等現有資助的申領條件，並要求校董會／校委會每年審視一次網絡風險報告。網絡安全若只是 IT 技術員的工作，它就永遠排在採購影印機之後。

要做到這些，需要另起爐灶立一條新法嗎？不一定。至少有三條現成路徑：

一， 第 653 章通過時，政府已表明日後可透過修訂附屬法例增設受規管界別。二，《個人資料（私隱）條例》的修訂工作正在進行，強制外洩通報一旦落實，教育界即時受惠。三，也是最快的一條： 教育局可以把 Tier 1 基線寫成資助條件，這不需要立法，明年就可以做，而這正正是英國的做法。

我不認為教育界今日就應被當作關鍵基礎設施看待，那對中小學是不成比例的負擔。但在「完全自願」與「刑事罰款」之間，香港應該有一個中間檔位：有法定基礎、按規模比例、以改善為目標而非以懲罰為目標。 教育界正是最需要它的界別。

浸大的調查報告終會提交，帳戶密碼終會重設。但在那 14,653 條被掃描的網址裡，下一間是誰，答案其實已經寫好，只是還沒有人去讀。十八年、四份指引之後，我們大概可以停止討論「應否再寫一份」，開始討論「應該立一條甚麼樣的規矩」。

陳靖龍（Chris Chan）為 Dracosec Research Limited 行政總裁、BSides Hong Kong 創辦人、OffSec 香港大使，前 UDomain 網絡安全部主管。持有 OSCE3 等多項進攻性安全認證，累計取得 10 個 CVE 漏洞編號，曾向 Apple、Yahoo、eBay、ASUS 等廠商通報漏洞。長期從事滲透測試、紅隊演練、事故應變及關鍵基礎設施合規工作。