索討價值100萬韓元加密資產　江南整形外科患者照片遭威脅

首爾江南一間大型整形外科的患者照片與諮詢單被附在威脅訊息中，傳給患者的男友。發訊者要求對方支付價值100萬韓元的加密資產，才不公開資料。

一名30多歲的上班族A女於9月在該院接受手術。KBS於10月30日獨家報導這起事件。

發訊者傳送一張露出患者臉部與上半身的照片，以及記載姓名和地址的諮詢單，並聲稱部分個人資料是從院方外洩。他威脅稱，將於6天後在社群媒體（SNS）公開照片。

A女向KBS表示：「突然冒出一身冷汗。」她害怕照片可能已傳到熟人手中。發訊者沒有先聯絡照片中的A女，而是找上她的男友。

A女的男友收到訊息後約10分鐘便聯絡院方。院方表示內部伺服器疑遭植入惡意程式，且有個人資料外洩跡象，並寄出道歉聲明。

院方於10月11日發現疑似遭植入惡意程式的跡象，並於隔天掌握遭駭跡象。約兩週後，A女收到威脅訊息，才得知資料外洩。

院方表示，受害規模與外洩項目尚未最終確認，已向主管機關通報並配合調查。A女轉述，院方曾對她說：「我們不也是受害者嗎？」

KBS查證發現，該院在5月與8月也曾向主管機關通報個人資料外洩事件。這次事件除了資料外洩原因，院方何時、如何通知患者也成為爭議焦點。

修訂後的韓國《個人資訊保護法》於2026年9月11日施行。過去須確認個人資料確實外洩，才有義務通知當事人；修法後，在特定條件下，疑似外洩的可能性也納入通知範圍。

韓國個人資訊保護委員會公布的施行資料指出，若個人資料處理系統遭非法存取、疑似發生外洩，但難以確認受影響者，也必須通知資料可能外洩。

院方須自知悉相關跡象起72小時內，以書面等方式通知。即使尚未掌握所有外洩項目，也應先通知已確認的內容，之後再補充通知新確認的資訊。

《個人資訊保護法施行令》規定，若有無法得知聯絡方式等正當理由，可在網站公告至少30天，替代個別通知。

院方在網站刊登公告是否符合以公告替代個別通知的法定條件，仍須由主管機關判斷。院方表示道歉聲明已刊登於網站，但受害規模與外洩項目尚未最終確認。

BlockTempo報導，2017年立陶宛整形外科連鎖診所Grožio Chirurgija遭駭後，攻擊者向院方索討300枚比特幣（BTC），遭拒後轉而向患者索討最高2000歐元。2018年，韓國一家整形外科網站遭駭，患者也曾收到照片外流威脅，並被索討0.02枚比特幣。

BlockTempo也報導，2020年芬蘭心理治療機構Vastaamo事件中，駭客取得約3萬3000名客戶的資料後，向機構索討40枚比特幣。機構拒絕後，駭客改向患者索討200至500歐元。

BlockTempo指出，法院在該案認定超過2萬件勒索未遂、20件既遂；資安公司Malwarebytes則表示，駭客最終公開了相關資料。在Revolut客戶資訊外洩疑雲中，駭客團體曾公開向公司索討6000枚門羅幣（XMR），TokenPost曾報導此事。