1
PDPC 对 Courts（Singapore）的罚单 10 月 26 日挂网：17.8 万新元，涉 2022 年 9 月勒索软件攻击，共 946,972 人受影响——941,513 名顾客加 5,459 名在职、离职和应聘员工（ST 报道引 PDPC 决定书，决定书日期 8 月 11 日）。
入侵路径值得每个 IT 负责人抄下来：约 9 月 21 日，攻击者从两台暴露在公网的灾备服务器破门，拿到系统管理员凭证后横向移动，26 台服务器被装上勒索软件、20 台被全盘或部分加密。9 月 26 日才察觉，10 月 1 日客服收到勒索信，Courts 没理会。PDPC 点名的关键失误：灾备服务器因为"不算关键系统"，被排除在常规漏洞扫描外。
泄露内容：员工的银行账户资料和信用信息最敏感；顾客是姓名、证件号、地址、电话，部分人还有信用卡尾号。12 个月暗网监测没发现外泄证据。员工收到通知，顾客没通知——Courts 评估是"不太可能造成显著伤害"。
这是 Courts 自 2019 年 1 月以来第三次违反数据保护义务：2021 年那次泄露 76,844 名顾客资料，罚 9,000 元。17.8 万摊到 95 万人头上，一人不到两毛钱。第三次才到这个数，威慑力在哪？