香港証券先物委員会（SFC）は、サイバーセキュリティの不備を理由に、陸福証券に210万香港ドルの罰金を科した。

香港証券先物委員会（SFC）は、ランサムウェア攻撃により業務と顧客サービスが中断されたことを受け、適切なサイバーセキュリティ対策を実施しなかったとして、Luk Fook Securities (HK) Limited（LFSHK）を叱責し、210万香港ドルの罰金を科した。

2022年9月に発生したこのサイバー攻撃により、ファイルサーバー、メールシステム、取引アプリケーション、会計サーバーなど、同社の重要なITインフラが侵害されました。復旧期間中、顧客はモバイル取引プラットフォームやオンライン取引プラットフォームにアクセスできず、アカウント担当者を通じてのみ注文を行うことができました。同社は、事件発生から約3週間後にシステムを完全に復旧させました。

SFCの調査により、今回の攻撃は同社のリモートアクセスシステムの脆弱性を悪用したものであり、サイバーセキュリティ体制に複数の欠陥があることが判明した。具体的には、ファイアウォール保護とネットワーク監視の不備、旧式のオペレーティングシステムとウイルス対策ソフトウェア、脆弱なユーザーアクセス制御、不適切なパスワード管理、リモートアクセスと外部デバイスに対する制御の不足、従業員へのサイバーセキュリティ研修の不足、そして不十分なデータバックアップと事業継続計画などが挙げられる。

規制当局は、これらの欠陥が同社のサイバー攻撃に対する脆弱性を著しく高め、事件の深刻化に寄与し、規制対象事業に求められるサイバーセキュリティ基準を満たしていなかったと結論付けた。

懲戒処分を決定するにあたり、証券先物委員会（SFC）は、LFSHKが独立した調査を依頼し、サイバーセキュリティ対策を強化し、調査に全面的に協力し、過去に懲戒処分を受けたことがないことを考慮した。また、SFCは、今回の事件によって顧客に金銭的な損失が生じたという証拠がないことも指摘した。