135 個政府電子郵件帳戶外洩，暴露更廣泛的資安問題
尼泊爾國家網路安全中心加入追蹤外洩憑證服務 Have I Been Pwned 後，發現至少 135 個使用 nepal.gov.np 政府網域的電子郵件帳戶曾出現在外部資料外洩事件中。受影響地址包括與總理辦公室，以及內政部、財政部和外交部相關的帳戶。
目錄
這項發現與學生及教職員文件外洩、政府入口網站遭攻擊、電子採購遭干預，以及導致股票交易中斷的勒索軟體事件等報導同時浮現。2026 年 10 月刊出的相關報導描繪出一個數位化政府，其資安失靈可能同時影響個人隱私與民眾取得基本服務的權利。
這些事件涉及不同問題。電子郵件地址出現在外洩資料中，本身並不能證明有人入侵政府網路。網站遭到癱瘓，也不代表其資料遭竊。然而，外洩憑證、薄弱的存取控制，以及對共用基礎設施的依賴，可能交互作用，形成進入更敏感系統的途徑。
尼泊爾正將護照、身分驗證、稅務、銀行和社會安全服務連結至數位服務，但民眾仍持續反映排隊、身分證延遲核發及伺服器無法使用等問題。因此，核心問題不只是阻止駭客：政府必須保護民眾被要求提交的資訊，同時在服務某個環節故障時，仍維持服務可用。
電子郵件帳戶的發現說明了什麼
國家網路安全中心主任 Raj Kumar Maharjan 表示，尼泊爾是第 47 個加入 Have I Been Pwned 的政府機關。這項連結讓中心得以找出在其他外洩事件中曝光的政府電子郵件地址，而不必只依賴自身網路內的證據。
Maharjan 表示，中心將通知受影響的部門，並要求更改密碼。他說明了監測服務如何改變應對方式：
透過這個入口網站，本中心現在能精確得知哪些電子郵件地址遭到外洩，以及資料來自何處。這讓我們能即時提醒相關官員、強制立即重設密碼，並防止損害擴大。
135 這個數字不應被解讀為已有 135 個政府信箱遭確認入侵。公開報導並未證實有多少帳戶仍存在弱點、外洩密碼是否仍有效，或有多少帳戶啟用了額外的驗證保護。
資安專家 Mona Nyachhyon 警告，官方帳戶遭入侵可能危及內部網路及機密通訊。若攻擊者控制了真正的政府信箱，也能讓詐騙要求看起來可信，尤其當收件者認得該地址時更是如此。
另有報導指出，與農業發展銀行相關的憑證透過會竊取受感染裝置資訊的惡意軟體外洩。這類竊取可以發生在用來存取服務的電腦上，不必直接入侵服務的中央伺服器。
民眾文件與公共入口網站面臨不同威脅
據報導，大學補助委員會的線上系統外洩教授及學生的公民身分文件、學歷證明、銀行帳戶資料和永久帳號（PAN）紀錄。據稱，只要更改網址就能取得文件，原因是系統缺少存取控制。
存取控制是用來判斷某人是否獲准檢視特定紀錄的檢查機制。文件不會只因網址難以猜測就受到保護。每次有人提出請求時，伺服器都必須確認其存取權限。
報導也指出，政府雲端入口網站的公開應用程式介面遭未授權存取。介面通常稱為 API，可讓軟體系統交換資訊或執行操作。據稱，與 ForceAnon 網路相關、名為 PSy404 和 AnoNagoSt 的團體利用該權限張貼訊息與圖片。
其他據報事件包括 Midnight Ops Nepal 揭露水文氣象局等系統的漏洞，以及據稱由 FunkSec 存取部會行政管理介面。預算和市政文件據稱曾被拿出販售。
這些說法需要分別評估。透過公開介面張貼內容，顯示存在控制失靈，但不能據此證明攻擊者能存取政府雲端託管的所有資料庫。至於有文件被拿出販售的報導，在確認真偽、範圍和來源之前，也無法完整評估外洩規模。
攻擊與政府行動的報導時間軸
相關報導描述的是數年間發生的事件，而非單一協同攻擊。事件順序也顯示，成立專責網路安全中心並未終止服務中斷。
- 2024 年 1 月 1 日：據報分散式阻斷服務攻擊導致公共服務網站和應用程式中斷，影響持續數週。
- 2024 年 1 月 23 日：內閣決定成立國家網路安全中心，該中心於同年春季稍晚開始運作。
- 2024 年 12 月：據報 Gandaki、Lumbini 和 Bagmati 省的政府入口網站遭到攻擊。
- 2025 年 2 月：報導指出 Koshi 省有 21 個子網域遭受攻擊。
- 2025 年 3 月：據報 Hello Sarkar 陳情平台的資料庫遭入侵並被拿出販售。
- 2025 年 4 月：據稱約 200 萬筆提交警方報案用的公民身分紀錄，從尼泊爾警察網站遭竊並被拿出販售。
- 2026 年 5 月 13 日：據報刊出的《尼泊爾政府業務分工規則》修正案，將主要科技機關移交總理辦公室。
- 2026 年 9 月：據稱勒索軟體攻擊使服務 72 家證券經紀商的系統中斷，並導致股票交易停擺一天。
- 2026 年 10 月上旬：Pathao Nepal 據報承認發生涉及使用者姓名、電子郵件地址和電話號碼的外洩事件。
據稱約 200 萬筆警方紀錄遭竊，是報導所述規模最大的外洩事件之一。這個數字是報導中的說法，並非經獨立確認的受影響人數。相關報導未提供經查證的個別紀錄數量，也沒有完整的公開損害評估。
電子採購讓資安成為公共支出的關鍵
據報遭入侵的電子政府採購系統 e-GP，不只涉及機密資訊，也攸關公共契約的完整性。公共採購監督辦公室負責營運這個平台，供業者競標價值數十億盧比的政府工程。
據報調查人員發現，未授權使用者可以查看競爭者的機密投標金額，並在提交期限後修改數字。報導描述駭客、中間人和承包商據稱相互合作，包括以加密貨幣付款，以及架設冒牌採購網站。
據報尼泊爾警察中央調查局逮捕 20 多人，包括一名前部長、營建業人士及技術人員，並將案件移送法院。逮捕和起訴不等於定罪。報導未提供各名被告責任已由法院判決確立的最終結果。
據報資安疑慮促使當局暫停電子投標，並為必要採購恢復密封紙本投標。相關報導未提供確認的恢復日期。
這與文件外洩的差異至關重要。有人看到不該看到的投標資料，代表機密性失守；有人更改投標內容，則代表完整性受損。任一保障失效，都可能讓原本旨在提高採購透明度的數位系統，反而為特定投標者帶來未公開的優勢。
單一服務商可能癱瘓整個市場
據稱，2026 年 9 月一宗勒索軟體事件攻擊了一座私人資料中心，該中心託管 72 家證券經紀公司的交易管理系統。據報尼泊爾證券交易所全天無法交易。原始報導也指出，受影響設施託管了政府資訊。
勒索軟體通常會阻斷系統或資料的存取，常見手法是加密檔案並索取贖金。報導未證實攻擊的技術手法、資訊是否也遭竊，或是否支付贖金。
較明確描述的後果是營運中斷：一家託管服務商出問題，影響便擴及數十家經紀商，阻止投資人進行交易。這就是集中風險，也就是許多組織仰賴同一家供應商或同一套基礎設施。
Pathao Nepal 的揭露則呈現另一種民營部門資料外洩。據報姓名、電子郵件地址和電話號碼於 2026 年 10 月上旬外洩。報導稱受影響使用者有數千人，但未提供經查證的確切總數。
較早的報導也提及 Vianet 和 Foodmandu 的客戶資料外洩、涉及銀行 ATM 系統的攻擊，以及針對 NIC Asia Bank SWIFT 系統的攻擊企圖。這些事件的範圍和結果各不相同，但都顯示資安挑戰不只涉及政府網站，也涵蓋民眾用於通訊、購物、交通和金融服務的平台。
國家身分驗證系統的容量問題波及多項服務
國家身分系統說明，即使沒有確認遭受網路攻擊，服務也可能失靈。據報，當生物辨識系統接近約 2,000 萬筆資料的容量上限時，技術負載導致身分驗證中斷數週。
據報包括護照、稅務、交通和銀行服務在內，超過 16 個機關受到干擾。這個數字描述的是系統據稱面臨的容量壓力，並非經查證的生物辨識資料外洩人數。
相關報導對法國供應商的公司身分描述不一。原始報導提到供應商從 Idemia 轉為 IN Groupe，另一份報導則仍稱目前名稱為 IDEMIA。本文無法確認確切的合約與支援安排。營運問題則相同：多項服務仰賴同一套身分驗證平台，平台無法使用時，各服務也受到影響。
共用身分服務可以減少重複查驗和文書作業。但若該服務停止回應時，機關無法透過安全替代方案繼續辦理業務，它也會成為單一故障點。因此，除了防範入侵，容量規劃、復原安排和明確的供應商責任同樣重要。
隱私後果也必須審慎看待。指紋是生物辨識識別資料；公民身分號碼和出生日期則是身分資訊，不是生物特徵。密碼可以更換，指紋卻不能。這些細節外洩，可能長期增加冒名和針對性詐騙的風險。
政府防禦能力正在擴大，但仍有限制
據報，國家網路安全中心在電子郵件外洩報導刊出前的四個月內，稽核了近 40 套政府系統。中心也使用國際電信聯盟提供的監測工具 CTM360，追蹤涉及政府資訊的非法交易。
政府近期購入的安全資訊與事件管理系統會蒐集並分析政府網路上的活動紀錄。這類工具有助工作人員辨識可疑模式，但成效取決於監測範圍，以及團隊調查警示的速度。
尼泊爾報導指出，資訊科技與電子治理辦公室資訊官 Prakash Duwadi 表示，託管政府入口網站可能同時面臨 7,000 至 8,000 次攻擊嘗試。他估計，其中 10% 至 20% 是學生或兒童進行的基礎測試。報導未說明統計期間或計算方式。
Duwadi 也表示，若工作人員無法安全防護，有時會中斷系統連線。因此，伺服器故障可能是保護措施，而非攻擊者已控制系統的證據。但無論原因如何，民眾都會失去服務，因此需要準確的服務公告和復原程序。
Maharjan 認為，超過 90% 的網路事件源於人為行為和社交工程。這是他的評估，並非有文件佐證的全國統計結果。他也警告，若以人工智慧快速開發應用程式，開發者可能不了解加密和安全方面的弱點。
據報，冒充副警察總監 Manoj Kumar KC、總理辦公室及其他警官的釣魚訊息，曾以起訴相威脅，迫使收件者回覆或提供資訊。這些案例顯示，恐懼心理與官方權威可能被用作詐騙工具。
隱私權需要看得見的執法
尼泊爾憲法第 28 條保障隱私權。《2075 年隱私法》（2018 年）也規範公務機關持有個人資訊時的責任。原始報導及相關分析指出，第 29 條規定最高可處三年徒刑，第 31 條涉及賠償，第 32 條則涉及部門處分。
這些規定不代表每一起據報的技術失誤都符合刑事犯罪或賠償的構成要件。責任必須依據涉案行為、適用法律條文和證據認定。針對本文討論的事件，公開報導很少提及實際裁罰或賠償。
行政責任架構也正在改變。據報，2026 年 5 月 13 日刊出的修正案將網路安全中心、資料管理中心和資訊科技部門移交總理辦公室。2026 年 3 月 27 日核准的內閣議程要求在三個月內成立資訊科技與電子治理辦公室，但據報相關組織調查在報導刊出時尚未完成。
因此，組織架構和呈報層級仍未定案。機構移轉本身並不能確定誰必須通知受影響民眾、核准遭入侵服務的復原，或確認供應商已修正資安缺陷。
測試、採購與漏洞揭露是接下來的決策重點
原始分析建議，從一開始就將資安義務納入軟體採購，包括加密、持續更新、維護，以及依品質與成本評選，而不是把軟體視為交付時就已完成的採購。這些是建議，並非已確認的新政府要求。
分析也主張，在服務向民眾開放前，必須進行漏洞評估和滲透測試。這些測試用來找出弱點並進行受控入侵測試。完成測試不等於修正測試結果：可信的上線決策，必須有證據證明重大缺陷已修復並再次檢查。
資安專家 Naresh Lamgade 表示，軟體開發過程常忽略資安，也不鼓勵民間研究人員通報漏洞。建立明確的通報管道和處理程序，有助於將發現轉化為修復措施，而不是讓研究人員不確定該如何聯繫政府機關。
其他建議措施包括為政府電子郵件和管理員帳戶增設驗證、定期稽核資料中心、在外洩事件後通知受影響民眾，以及設立獨立的資料保護監管機關。報導未提供這些措施已獲採納的確切日期。
目前仍待解答的問題十分具體：有多少外洩帳戶已獲妥善保護、據稱遭竊的資料集是否已確認真實性、電子投標何時恢復，以及身分驗證服務如何避免再次發生容量中斷。公開回應這些問題，才能讓外界依據實際成果，而非上線服務的數量，評估復原情況。
重點整理
- 尼泊爾加入 Have I Been Pwned 後，至少 135 個政府電子郵件帳戶被發現在外部資料外洩事件中曝光。
- 據報外洩資料包括大學文件，以及約 200 萬筆警方報案用的公民身分紀錄；後者的總數仍未經查證。
- 據報電子採購案有 20 多人遭逮捕；報導未提供法院最終裁決結果。
- 據稱 2026 年 9 月的勒索軟體事件使服務 72 家證券經紀商的系統中斷，並導致股票交易停擺一天。
- 據報國家身分系統容量問題造成超過 16 個機關的身分驗證服務中斷數週。
- 資安監測和測試工作已有所擴大，但外洩通知、責任歸屬和若干服務復原日期仍未明朗。
