首爾江南一家大型整形診所遭駭，一名病患的男友接著收到勒索訊息，歹徒拿她的私密照要加密貨幣封口。韓國新法要求疑似外洩也要在 72 小時內通知本人，診所有沒有違規還沒有定論。
（前情提要：酷澎個資外洩台灣罰 150 萬！韓國光外洩就罰 98.6 億台幣）
（背景補充：Revolut 駭客改勒索 Monero！300 萬鎂倒數 24 小時，否則賣資料給黑市）
首爾江南一家大型整形診所的內部伺服器近期遭駭，一名 30 多歲的女病患隨後被勒索：她的男友收到陌生人的訊息，裡面有她的臉部與上半身裸露照片，以及寫著姓名、住址的諮詢表。歹徒稱這些是「從醫院外洩的個資的一部分」，揚言 6 天後公開到社群媒體，不想被公開就得支付相當於 100 萬韓元（約 750 美元、新台幣 2.4 萬元）的加密貨幣。
這起案件由韓國公共廣播 KBS 在 10 月 30 日獨家披露。
病患最後才知道
KBS 以 A 女代稱這名上班族。她今年 9 月在這家診所接受手術，一個月後男友收到訊息。她說當下「冷汗一下子直流，滿腦子都是可能已經全部流到認識的人那裡的恐懼」，10 分鐘內就聯絡診所。診所告訴她，10 月 11 日內部伺服器被植入惡意程式，確認有個資外洩跡象，並傳來一份道歉文（這份道歉文當時已貼在官網約 10 天）
A 女轉述，診所回她「我們（診所）不也是受害者嗎」、「已經請相關機關調查，請再等等」。診所對外的正式說法則是「受害規模與外洩內容還沒有最終確認」，已向相關機關通報並配合。
法律要求診所多快通知
韓國《個人資訊保護法》的修正條文在 2026 年 9 月 11 日施行，正好在這起事件的一個月前。以前，業者確定個資真的外洩，才要通知本人。現在新增「外洩可能性通知」：發生非法存取、懷疑外洩但難以特定受害者時，即使沒有最終確認，也要在得知後 72 小時內通知本人。
通知原則上用書面、電子郵件、簡訊等個別管道，官網公告要在「不知道本人聯絡方式等正當理由」時才能替代通知，而且要掛 30 天以上。沒在期限內通知、也沒做防止損害擴大措施，罰款最多加重 30%。
韓國個人資訊保護委員會今年 6 月對電商酷澎開出 6,247 億韓元罰款，創該會最高紀錄，不過罰款與營收掛鉤，這個金額無法套到一家診所身上。
目前這家整形診所有沒有違規，要等主管機關認定，尚未定論。
為什麼直接找病患要錢
機構可以拒付，病患要面對的卻是自己的隱私。國外與韓國都有前例：駭客偷到病患資料後，改向病患個別開價，金額壓到個人付得起的程度。
2017 年，立陶宛整形連鎖 Grožio Chirurgija 遭駭客團體 Tsar Team 偷走超過 2.5 萬張私密照片與個資。駭客先向診所要 300 枚比特幣，遭拒後轉向病患，每人最高要 2,000 歐元。
2018 年，韓國一家未具名的整形外科官網遭駭，病患收到勒索信，對方聲稱握有照片，要 0.02 枚比特幣。資安業者 SEWORKS 執行長 Hong Min-pyo 當時建議不要回應：付了比特幣，會招來更多勒索。
2020 年，芬蘭心理治療機構 Vastaamo 的駭客握有約 3.3 萬名客戶的資料，先向機構要 40 枚比特幣，遭拒後轉向病患，每人開價 200 到 500 歐元。法院認定勒索未遂超過 2 萬件、既遂 20 件。
那付了有沒有用？資安公司 Malwarebytes 指出，這名駭客最後還是把資料公開了。這起事件再次提醒社會，AI 時代下的資安安全需要更多關注，畢竟密碼外洩可以換，私密照流出去後就收不回來了。
📍相關報導📍
勒索軟體ALPHV BlackCat主犯認罪！全球逾千人受害，某受害者曾損失120萬美元比特幣
Lockbit 勒索病毒成員在美認罪！吸金超5億鎂「多是比特幣」，判25年以上監禁
Trezor 冷錢包被攻破？外洩 8 萬人訂購名單，私鑰沒被碰
