資安指南

2026年四起政府資料外洩事件（美國國防部、伊利諾州、拉脫維亞、法國稅務機關）：民眾可以怎麼做

比較2026年四起政府資料外洩事件（美國國防部DMDC、伊利諾州DHS、拉脫維亞CSDD、法國DGFiP）：各自如何被入侵，以及民眾如何保護帳號。

發布於 2026-09-30 更新於 2026-10-04 最後核實 2026-09-30 閱讀時間 6 分鐘

本頁內容

適用對象：已收到或可能收到國家或地方政府機關資料外洩通知的人，以及他們的家人。也適用於經營政府系統，或為政府承包工作之公司的人員。本文以各機關自己的通知、常見問題及政府新聞稿為依據，並引用官員接受新聞報導的說法，比較四起案例。本文不涉及攻擊手法。

首先：若政府機關寄來資料外洩通知

如果你搜尋過其中一起事件，你可能想知道自己是否受影響，以及該怎麼做。以下步驟依據的是機關自己向民眾說明的內容。

不要使用通知中的號碼或連結，改查機關官方網站

法國DGFiP在常見問題中表示，其通知「不含直接連往您稅務空間的連結，也不索取機密資訊」。拉脫維亞CSDD請民眾至其官方入口網站e.csdd.lv查閱資訊，並在官網設立專門的事件專區。

換言之，正式的機關正逐步不再要求民眾透過通知中的連結採取行動。請透過你自己輸入的官方網站，或你自己查到的主要電話號碼進行查證。

確認哪些項目外洩，並阻止每個號碼遭濫用

外洩的內容決定你該怎麼做。若涉及你的社會安全號碼，請在Equifax、Experian和TransUnion凍結信用（免費，依聯邦交易委員會所述，凍結會持續到你解除為止），並申請IRS IP PIN，這是一組六位數號碼，可防止他人以你的社會安全號碼報稅，且每年更新。

在法國的案例中，涉及納稅識別碼與所得相關資料。DGFiP建議你在impots.gouv.fr個人空間中，查看以你名義登記的銀行帳戶登記簿（FICOBA），確認是否有你未開立的帳戶。

加強稅務與福利帳號的登入保護

DGFiP表示，在此次事件中，impots.gouv.fr的密碼未遭竊取。其個人空間已採用兩步驟驗證，輸入密碼後會寄送六位數驗證碼至電子郵件；其常見問題指出，若收到你未曾要求的驗證碼，應盡快更改密碼。

實務重點在於：控制接收驗證碼之電子郵件帳號的人，就能進入你的稅務帳號。請為該信箱設定強密碼，並啟用雙重驗證（參見什麼是雙重驗證？）。

掛斷自稱是機關的來電，並自行回撥

FTC表示：「政府機關絕不會為了索取金錢或個人資訊，而致電、寄送電子郵件、傳送簡訊或在社群媒體上向你發訊息」，並警告來電顯示可能遭偽造。DGFiP重申，稅務機關絕不會透過電子郵件、簡訊或電話索取機密資訊；CSDD則請民眾特別留意看似來自CSDD的電子郵件與簡訊。

知道你的住址、所得、車牌號碼或軍職的來電者，並不代表證明了任何事（參見什麼是網路釣魚？）。

行使查詢權，了解外洩的內容

如果沒有收到通知，或通知內容含糊，你有權要求查詢自己的資料。在歐盟有GDPR第15條（法國CNIL表示其適用於公共行政機關，且免費，機關須於一個月內答覆）；在美國有1974年《隱私法》；在日本有《個人資訊保護法》第76條。CSDD表示，其事件專區說明了客戶取得受影響資料資訊的程序。

正式機關聯絡的特徵（依機關自身聲明）

通知中沒有直接連往你帳戶的連結（DGFiP）
請你至官方網站或應用程式查證（CSDD、DGFiP）
從不索取密碼、驗證碼或卡號
相同的資訊會出現在官方網站的通知或常見問題中

詐騙的特徵

來電或簡訊要求你**「確認」號碼、驗證碼或密碼**
引用你的住址或所得以顯得可信
要求付款、禮品卡或加密貨幣
急迫或威脅：「今天之內」、「否則將被逮捕」

依國家查詢資訊的管道（請自行前往查詢）

美國：信用凍結與IP PIN請透過FTC（consumer.ftc.gov）與IRS（irs.gov）辦理。詐騙通報請至ReportFraud.ftc.gov。
法國：impots.gouv.fr上的通知與常見問題；DGFiP的常見問題列出諮詢電話0809 401 401。詐騙協助請至17Cyber.gouv.fr；通報請至cybermalveillance.gouv.fr。
拉脫維亞：e.csdd.lv及CSDD官網的事件專區。
伊利諾州：IDHS表示，個別通知中附有免費諮詢電話。

2026年四起案例一覽

依據各機關的通知、常見問題與政府新聞稿，以及引用官員說法的新聞報導整理。人數僅列出機關或官員提供的數字。

機關（國家）	公布／通知時間	外洩內容（依機關說法）	受影響人數（機關／官員）	入侵方式（依機關說法）
國防人力資料中心（DMDC）（美國國防部）	通知日期為2026年9月18日（依報導）	未加密的個人資料，包括社會安全號碼	276萬名在世者與294,000名已故者（一名五角大廈官員）	檔案分享系統的漏洞
伊利諾州人類服務部（IDHS）（美國）	2026年1月2日	內部規劃地圖中的客戶資料	約32,401人及約672,616人，分為兩組	地圖網站的隱私設定錯誤
道路交通安全局（CSDD）（拉脫維亞）	2026年8月13日（人數於8月18日公布）	可追溯至2008年的歷史繳費收據資料	約120萬人（CSDD）	CSDD所維護之網路應用程式的漏洞（交通部委員會認定）
公共財政總局（DGFiP）（法國）	2026年8月14日	納稅識別碼、所得相關細節等	共678,000名個人與企業（政府新聞稿）	冒用一名職員及一名授權第三方的憑證

3種方式

四起案例的入侵方式：錯誤設定、有漏洞的系統、冒用憑證

2008年起

CSDD受影響繳費收據資料的時間起點（依該局說法）

未包含

使用者登入密碼（DGFiP與CSDD均表示不在被竊資料中）

不明

誰檢視了IDHS的地圖（機關表示地圖網站無法識別檢視者）

1. 錯誤設定

IDHS：內部地圖被留在外部地圖網站上且可公開檢視。無法識別檢視者

2. 有漏洞的系統

DMDC：檔案分享系統／CSDD：其所維護的網路應用程式

3. 冒用憑證

DGFiP：一名職員及一名授權第三方的帳號。存取已被切斷；竊取事實後來才確認

↓ 無論從哪種方式入侵，傳到民眾面前的是

知道你的住址、號碼、所得、車輛或軍職的「機關」來電

而且因為是政府，你無法直接停止使用該服務

民眾確實擁有的四項工具

查證官方網站／保護稅務與福利帳號（IP PIN、信用凍結、接收驗證碼的信箱）／自行回撥／查詢權

三種入侵方式各自被發現的方式不同，也各自留下不同的疑問。傳到民眾面前的結果相同：自稱是機關的人以可信的方式聯絡。

2026年1月2日
伊利諾州DHS發布媒體通知，說明可公開檢視的內部地圖問題（表示其於2025年9月22日發現此事）。
7月16日
DMDC發現檔案分享系統的漏洞（依報導所引通知內容）。
8月12至13日
惡意行為者聲稱非法存取DGFiP系統；DGFiP表示，資料竊取即於此時確認。
8月13日
CSDD宣布遭受網路攻擊。
8月14日
法國經濟與財政部就DGFiP（678,000人）發布新聞稿。
8月18日
CSDD表示，120萬人的個人資料遭取得。
9月18日
DMDC寄出通知予受影響者（依報導）。同日，拉脫維亞交通部公布其對CSDD事件的評估。
9月下旬
一名五角大廈官員向新聞媒體提供DMDC外洩事件的受影響人數。

各機關的說法

依據各機關的通知、常見問題、政府新聞稿，以及引用官員說法的新聞報導整理。機關所用之承包商與供應商，以及相關個人，均未具名。

美國國防部：國防人力資料中心（DMDC）

事件內容（通知，依報導）: 2026年7月16日，DMDC發現檔案分享系統的安全漏洞。其表示，2025年10月至2026年7月16日期間，少數未經授權的使用者存取了一台伺服器上的檔案，該伺服器含有未加密的個人資訊
資料: 社會安全號碼，以及至少一項其他資料（姓名、出生日期、聯絡資訊、性別、種族，或軍職人事資訊，如專業職類）。因人而異
人數: 一名五角大廈官員向新聞媒體表示，受影響者為276萬名在世者與294,000名已故者
因應: 已修補漏洞並恢復系統。依通知所述，沒有跡象顯示資訊遭到濫用。提供12個月免費信用監控

伊利諾州人類服務部（IDHS）

事件內容: 2025年9月22日，IDHS發現其員工在地圖網站上製作的內部規劃地圖，因隱私設定錯誤而可被公開檢視。這些地圖原本供內部使用，用於決定例如在何處開設新的地方辦事處等決策
對象與期間: 約32,401名復健服務部客戶（公開可存取期間為2021年4月至2025年9月），以及約672,616名Medicaid與Medicare Savings Program受益人（2022年1月至2025年9月）
資料: 第一組：姓名、住址、案件編號、案件狀態、轉介來源等。第二組：住址、案件編號、人口統計資訊，以及醫療補助計畫名稱，不含受益人姓名
因應: 於2025年9月22日至26日間變更所有地圖的設定，並採行禁止在公開地圖網站上放置客戶層級資料的政策。其表示地圖網站無法識別誰檢視了地圖，且不知悉有任何濫用情形

拉脫維亞：道路交通安全局（CSDD）

事件內容（8月13日）: 表示該局於一個週末遭受複雜的網路攻擊；攻擊者部分存取了資訊系統，並取得CSDD服務的歷史繳費收據資料。該局與CERT.LV合作阻止攻擊，並通知包括資料國家監察局在內的主管機關。該局表示客戶的使用者名稱與密碼未受影響
範圍（8月18日）: 120萬人的個人資料，來自可追溯至2008年的收據：個人身分證號或公司登記號碼、姓名或公司名稱、付款金額與日期、車輛登記號碼及住址（並非所有情況都完整）。依報導，電話號碼與電子郵件地址未遭入侵
評估（9月18日）: 交通部委員會認定，CSDD所維護之網路應用程式的一項漏洞使攻擊者得以初次存取。其估計範圍約為115萬名個人，以及最多20萬個法人實體，並建議（其中包括）檢討資料保存期限，以及改善與外包服務之合約與監督
之後: 實體服務與e-CSDD服務持續運作

法國：公共財政總局（DGFiP，稅務機關）

事件內容: 惡意行為者於2026年8月12與13日聲稱已竊取資料。依政府新聞稿，6月與7月的非法存取，係冒用一名DGFiP職員及一名授權第三方的憑證。DGFiP在偵測到時切斷了存取，但當時的檢查並未發現資料遭取走，該局表示
人數: 共678,000名個人與企業（新聞稿）。後續常見問題則列出略超過35萬名個人與略超過25萬家企業
資料（個人）: 納稅識別碼、民事身分、郵寄地址、電話與電子郵件聯絡資料、稅務狀況（家庭狀況、受扶養人、股份數、參考應稅所得、扣繳稅率），以及透過impots.gouv.fr往來的訊息清單。對於不足250人，也包括訊息內容（附件未被檢視）。地籍資料中的房產地址與面積亦被檢視
因應: 切斷了所用職員帳號的存取，並預防性地切斷對敏感系統的存取。已將此事通報CNIL並提出申訴。加強了受影響者稅務帳號的保護，並將在未來數月密切監控住址或銀行帳戶的變更。該局表示，impots.gouv.fr的個人與企業空間以及密碼未遭入侵

如何解讀這些數字

DMDC的數字是一名五角大廈官員提供給新聞媒體的數字；本站在查核時未能找到DoD的公開通知頁面。CSDD於8月18日公布120萬人，而交通部9月18日的評估則為約115萬名個人及最多20萬個法人實體。

DGFiP在常見問題中，將新聞稿中的678,000人拆分為個人與企業。本文不以事件「嚴重程度」對四起案例排序。此外，DGFiP還表示，8月17日發現一處僅含公開資料的空置房產入口網站存在技術漏洞。

本站觀點：當你無法停止使用該機關時，你的工具是法定權利，以及能阻止濫用的步驟

當民營服務外洩你的資料時，多數人會想到結束帳戶。但對於稅務機關、福利機關、駕駛與車輛登記，或軍職人事紀錄，你無法這麼做。而且這四起案例涉及多年的紀錄（CSDD的收據可追溯至2008年，IDHS的地圖則來自2021年），甚至包括已經過世之人的紀錄（DMDC案例中有294,000名已故者）。

因此，民眾方面有效的做法不是改用其他供應商，而是兩種工具。一是權利：行使查詢權，了解持有哪些資料，以及哪些資料外洩。二是在外洩號碼可能被濫用的地方（新的信貸、報稅、你的稅務帳號）採取阻止濫用的步驟：IP PIN、信用凍結，以及用來接收驗證碼且受到保護的信箱。

如同IDHS案例所示，有些外洩事件無從得知誰看過資料。本站認為，等到發現濫用證據才採取行動，為時已晚。

本站關於同年其他相關案例的文章

其他政府與公共機關的案例，已在各自的文章中詳細說明，此處不再重複。

法國證件與駕照申請網站（ANTS／France Titres）：辦理中文件的人員名單，以及如何辨識偽冒的ANTS訊息 → France Titres（ANTS）外洩事件
英國公司註冊處（Companies House）：一項缺陷讓已登入的使用者可看到其他公司董事的資料 → Companies House WebFiling缺陷
日本數位廳（GSS）：透過VPN漏洞入侵政府人員使用的共用工作環境 → 數位廳外洩事件與如何防護VPN
澳洲政府：一個AI代理存取了統計入口網站的非公開檔案，而通知寄到了一般公眾信箱 → AI代理未經授權存取案例

給經營政府系統或為政府承包商工作之人：針對每種入侵方式的第一步

1. 錯誤設定：列出每項外部服務的分享範圍

IDHS的案例發生在地圖網站上，這類外部服務很少被當作資訊系統來管理。該機關的改善措施是訂定政策，禁止將客戶層級的資料放上公開地圖網站。

第一步是列出員工使用的外部SaaS工具（地圖、表單、共用試算表、檔案分享），並找出任何設為「知道連結者皆可存取」或「公開」的項目。對於這類服務，你可能永遠無法得知誰看過資料，因此預防是唯一的選擇。

2. 有漏洞的系統：檔案分享區中存放了多少年未加密的資料？

DMDC案例涉及檔案分享系統；CSDD案例則涉及該局所維護的網路應用程式。一般而言，修補速度本身並不足夠。

請盤點像社會安全號碼這類無法更改的號碼是否以未加密形式存放在檔案分享位置，以及那裡保存了多少年的紀錄。這正是交通部委員會建議CSDD檢討資料保存期限的核心所在。如何防護邊界設備與軟體，請參見如何防護你的VPN。

3. 冒用憑證：讓員工與授權第三方遵循同樣的標準

在DGFiP案例中，政府表示被冒用的不只是職員的憑證，還有授權第三方的憑證。政府系統中有非員工的帳號，例如承包商，以及代表民眾行事的專業人員。第一步是要求非員工帳號與員工一樣採用抗網路釣魚的多因素驗證（通行密鑰或FIDO2安全金鑰），並將每個帳號可見的範圍限制在工作所需（參見什麼是通行密鑰？）。

將「存取已切斷」與「未被取走」分開檢查

DGFiP表示，在偵測並切斷非法存取時，當時尚無法確認資料遭取走。一般而言，停用帳號與確認該帳號讀取並傳出了多少筆紀錄，是兩項不同的工作。對於後者，請記錄每個帳號每天查詢的筆數，並在超過正常值的倍數時發出警示，優先從最敏感的資料開始。

若你受影響：最近的危險是跟在通知之後、自稱是「機關」的聯絡

在四起案例中，只有你應該知道的細節都外洩了：住址、身分證號、所得、車牌號碼、軍職。這些足以製作出可信的來電、簡訊與電子郵件。

如果有人以「補償」、「退稅」或「更新登記」之名要求你提供驗證碼、密碼或銀行資料，請掛斷電話，並改撥你自己在機關官方網站上查到的號碼。DGFiP的常見問題建議，若你懷疑是詐騙，請保留證據（訊息、網站網址、螢幕截圖）。

資料來源（公開紀錄）

本文的事實依據以下官方通知與公開紀錄，以及引用官員說法的新聞報導。數字僅採用機關、政府或官員提供的數字；未採用新聞估計，亦未採用關於未公開原因的臆測。承包商與供應商僅以角色描述。

伊利諾州人類服務部，《Notice to the Media from Illinois Department of Human Services – Incident Involving Protected Health Information》（2026年1月2日）— idhs.prezly.com
CSDD，《CSDD saskārusies ar kiberdrošības incidentu》（2026年8月13日，由Latvijas Vēstnesis刊登之官方公告）— lvportals.lv
CSDD，《CSDD mājaslapā izveidota vienota sadaļa par kiberdrošības incidentu》（2026年8月21日）— lvportals.lv
拉脫維亞交通部，《Pabeigts CSDD kiberincidenta izvērtējums》（2026年9月18日）— lvportals.lv
拉脫維亞公共廣播機構LSM（英文）：CSDD於8月18日的公告（120萬人，收據可追溯至2008年）— eng.lsm.lv／臨時理事會選任（8月20日）— eng.lsm.lv
DGFiP，《Vol de données suite à des accès illégitimes au système d'information de la DGFiP》（2026年8月14日，9月14日更新）— impots.gouv.fr／個人常見問題（2026年8月24日）— impots.gouv.fr（PDF）／企業常見問題— impots.gouv.fr（PDF）／《Fuites de données : comment réagir ?》— impots.gouv.fr（PDF）
法國經濟與財政部，第953號新聞稿，《Accès illégitimes au système d'information de la Direction générale des Finances publiques》（2026年8月14日）— presse.economie.gouv.fr
DGFiP，《FAQ : Réussir l'authentification en deux étapes》— impots.gouv.fr（PDF）
CNIL，《Le droit d'accès : connaître les données qu'un organisme détient sur vous》— cnil.fr
新聞報導（DMDC通知內容，以及一名五角大廈官員提供的數字）：Military Times（2026年9月24日）— militarytimes.com／Federal News Network— federalnewsnetwork.com／Stars and Stripes（2026年9月29日）— stripes.com
聯邦交易委員會，《What To Know About Credit Freezes and Fraud Alerts》— consumer.ftc.gov／《How To Avoid a Government Impersonation Scam》— consumer.ftc.gov
美國國稅局，《Get an identity protection PIN》— irs.gov
美國司法部隱私與公民自由辦公室，《Privacy Act of 1974》— justice.gov
日本，《個人資訊保護法》（第76條，請求揭露之權利）— e-Gov（日文）

更新紀錄

2026-09-30：首次發布。依據伊利諾州DHS的通知、CSDD與拉脫維亞交通部的公告、DGFiP的通知與常見問題，以及法國經濟與財政部的新聞稿；DMDC通知的新聞報導與一名五角大廈官員提供的數字；以及FTC、IRS、CNIL與美國司法部的公開指引。若機關公布更多資訊（例如DMDC的官方通知頁面），我們將會更新。

FAQ

Q2026年有哪些重大政府資料外洩事件？

根據各機關的聲明及官員說法，包括美國國防部國防人力資料中心（DMDC）：未加密的人員紀錄（包括社會安全號碼）因檔案分享系統的漏洞而遭存取，一名五角大廈官員表示受影響人數為276萬名在世者及294,000名已故者；伊利諾州人類服務部（IDHS）：內部地圖含有客戶資料，因地圖網站的隱私設定錯誤而可被公開檢視，約32,401人及約672,616人分為兩組受影響；拉脫維亞道路交通安全局（CSDD）：可追溯至2008年的歷史繳費收據資料遭取走，該局表示有120萬人受影響；以及法國稅務機關（DGFiP）：冒用一名職員及一名授權第三方的憑證，提取了共計678,000名個人與企業的資料。

Q政府機關外洩資料時，民眾可以怎麼做？

你無法停止使用稅務局或福利機關，因此應著重於外洩後仍有效的措施。(1)透過機關官方網站或你自己查到的號碼查證任何通知，不要使用通知中的號碼或連結。(2)保護稅務與福利帳號的登入：在美國，申請IRS IP PIN並在三大信用機構凍結信用；在法國，保護接收impots.gouv.fr兩步驟驗證碼的電子郵件信箱。(3)對自稱是該機關的來電、簡訊或電子郵件不予回應；掛斷電話，改撥你自己查到的號碼。(4)行使查詢權，了解該機關持有你哪些資料。

QDGFiP事件之後，我需要更改impots.gouv.fr的密碼嗎？

根據DGFiP的常見問題，impots.gouv.fr的個人與企業空間未遭入侵，密碼也不在被竊資料之列，因此無須更改（但你可以隨時更改）。稅務機關表示，絕不會透過電子郵件、簡訊或電話索取機密資訊，並請民眾務必自行前往impots.gouv.fr登入，而非點擊連結。若你收到未曾要求的驗證碼，常見問題建議應盡快更改密碼。

Q我收到了DoD DMDC的通知，該怎麼辦？

根據新聞報導，DMDC的通知提供12個月的免費信用監控。若你使用信中的註冊網站，請在輸入任何資料前先與信件本身核對。由於涉及社會安全號碼，本站建議在Equifax、Experian和TransUnion凍結信用（依聯邦交易委員會所述為免費），並申請IRS身分保護PIN，這是一組六位數號碼，可防止他人以你的社會安全號碼報稅。IRS絕不會主動聯絡你要求提供IP PIN。

Q我可以向政府機關詢問它持有我的哪些資料嗎？

在許多國家可以，這是一項權利。在歐盟（包括法國和拉脫維亞），GDPR第15條賦予查詢權；法國資料保護主管機關CNIL表示，此權利適用於公共行政機關，且免費，機關須於一個月內答覆。在美國，1974年《隱私法》允許你查閱並取得聯邦機關紀錄系統中關於你的紀錄副本。在日本，《個人資訊保護法》第76條允許你向行政機關首長請求揭露。