超過30個台灣非營利組織在11月9日至10日陸續發布公告，提醒捐款人留意詐騙訊息。原因是這些組織共用的捐款系統netiCRM出事，服務商網絡行動科技的部分伺服器遭外部攻擊者入侵。
公民監督國會聯盟（公督盟）已預防性暫停線上捐款與活動報名，台灣同志諮詢熱線協會則表示，個資是否外洩仍在廠商確認中。
netiCRM是什麼？為什麼一家出事，數十個團體同時示警
netiCRM是公益團體專用的捐款與支持者管理系統。民眾在這些團體官網線上捐款、設定定期定額、報名活動或訂閱電子報，用的就是這套系統；團體也用它開立收據、管理聯絡人名單。系統由網絡行動科技股份有限公司以開源軟體CiviCRM為基礎、針對中文環境優化開發，官網服務介紹稱已有超過300家非營利組織採用。
換言之，許多團體的線上捐款與支持者管理，都使用同一家服務商的系統。婦女新知基金會11月9日晚間在臉書示警，公督盟、民間司法改革基金會（司改會）、台灣人權促進會、台灣勞工陣線協會等組織隨後跟進。
入侵怎麼發生？已知與未知
根據台灣同志諮詢熱線協會11月10日的公告，網絡行動科技部分伺服器於11月8日晚間至9日凌晨遭入侵，服務商9日凌晨切斷攻擊者連線、修補漏洞，並更新伺服器金鑰與系統密碼，已通報數位發展部並向警方報案。熱線表示，系統重構與切換期間，捐款頁面及相關服務可能中斷數小時；熱線也指出，服務商原本就不儲存信用卡資訊。
據科技媒體《iThome》向網絡行動科技查證，攻擊者取得該公司內部程式碼管理系統的一組帳號密碼，再利用系統漏洞取得一台伺服器的管理權限，於11月9日凌晨1時55分入侵，約3時30分遭切斷連線。
由於管理權限理論上可讀取主機資料，業者基於審慎原則，將客戶網站後台帳號與寄信機制的郵件帳號設定視為可能外洩，其中後台密碼經雜湊處理後儲存，存的是加工過、無法直接反推的版本，而非密碼原文。客戶網站與租用服務的個資是否遭竊，仍在調查。業者建議客戶盡速更改後台所有管理員密碼。
據《iThome報導》，11月10日晚間有組織轉述廠商19時的回報：遭入侵的是內部技術管理主機，並非存放捐款紀錄的主機，尚未發現捐款人資料遭竊跡象，調查仍在進行。
值得注意的是，這波示警的組織涵蓋國會監督、司法改革、人權、勞工、移民工、性別與青年民主等議題，支持者名單等於一張「誰支持哪些公民議題」的地圖，一旦外流，可能被用於精準詐騙與社交工程。
對捐款人而言，在個資是否外洩釐清之前，接到自稱捐款單位、以扣款失敗或重複扣款為由，要求操作ATM或提供信用卡號、驗證碼的電話與訊息，一律不要照做，改撥165反詐騙專線或組織官方管道查證。
資料來源：台灣同志諮詢熱線協會公告、公民監督國會聯盟公告、婦女新知基金會臉書貼文、《iThome》、fox.hsiao Threads貼文、網絡行動科技服務介紹
本文初稿為AI編撰，整理．編輯/ 李先泰
