中選會網站曝光1573名候選人身分證字號　32個IP可能存取，兩小時修好不等於風險結束

中選會公職候選人財產申報網站發生個資事件，原本前台已遮蔽的身分證字號，仍被載入瀏覽器可取得的非公開查詢檔案，涉及1573名直轄市長、縣市長及議員候選人。中選會主委游盈隆29日鞠躬致歉，說明初步掌握32個IP曾進入相關頁面並可能取得資料；資安署已介入安全檢測與改善。數字不代表32人惡意下載，也不能據此宣稱資料從未流出。

問題的關鍵在於「畫面看不見」不等於「資料沒有送出」。網站可以在頁面上遮蔽欄位，但若伺服器仍把完整資料傳到使用者瀏覽器，懂得查看網路請求或開發者工具的人就可能取得。中選會稱檔案以一般人不易識讀的形式呈現，這不構成有效去識別化；身分證字號一旦到達公開裝置，風險已經形成，不能以需要技術操作降低責任。

中選會表示委外廠商產製公告資料時發生程式處理疏失，發現後約兩小時完成修正。修正速度值得交代，但事件至少從10月16日資料上線到27日被發現，暴露窗口不是兩小時。主管機關必須保存伺服器、內容傳遞、應用程式與防火牆紀錄，釐清哪些IP實際下載多少資料、是否有自動化抓取，以及紀錄保存是否足以追溯。

1573名候選人需要收到個別通知，內容應包括外露欄位、時間、可能存取範圍、可採取的防護與聯絡窗口。身分證字號可被用於社交工程、冒名申辦或拼接其他外洩資料，當事人未必立即出現財損。通知不能只用一則新聞稿代替，也不應把監看信用或防詐責任全部交給候選人。中選會與承包商應提供後續支援並負擔必要成本。

委外不會移轉公務機關責任。承包商如何測試、誰驗收、上線前是否做資料最小化與滲透檢測、正式資料能否進入測試流程，都需要公開。若驗收只檢查畫面是否遮蔽，沒有檢視API回傳與瀏覽器背景檔案，代表採購與驗收標準落後於現代網站風險。中選會曾處理高度敏感的選務與候選人資料，更不能把資安當成廠商的技術附件。

事件與投開票系統是否直接相連，必須用架構與證據說明。中選會表示不影響選務運作，這項結論若有網路區隔、帳號分離及檢測結果支持，可以降低不必要恐慌；但「不影響選務」不代表個資事件不嚴重。政府應同時說明兩件事：投票與開票系統有何隔離措施，候選人個資又將如何補救，不能用前者的安全聲明掩蓋後者的責任。

資安署介入後，改善不應只改一段程式。所有公開資料服務都應重新盤點欄位，確認伺服器只回傳依法可公開內容；敏感資料要在來源端移除，而非送到前端後再隱藏。查詢要設速率限制、異常下載警示與權限分層，程式碼與供應鏈也需接受獨立檢查。後續報告至少要公開事件時間線、根因、影響範圍與防止再發措施。

選舉期間容易把任何事故拉進政黨攻防，但這起事件最需要的是可驗證的技術與責任資料。候選人的政治立場不會降低個資保護權利，發現問題的人也不應被影射為惡意。中選會只有完整通知、保全紀錄、獨立檢測並公布改進，才能證明修正不是把檔案藏得更深，而是讓不該公開的資料從系統流程中真正消失。