单一陈情→单一出卖 北市APP平台再传资安漏洞
台北市长柯文哲上任后力图打造台北成为「智慧城市」，看准目前的行动作业平台趋势，陆续推出多个市政APP，让民众用手机就可以进行缴税、陈情等；但台北市议员谢维洲13日踢爆，北市府动用1025万打造、声称连「总统都可以陈情」的「Hello Taipei单一陈情系统」，漏洞百出，连基本的身分证号加密都没有，等于只要民众开始注册，个资就有可能同步遭到拦截，资安防护措施彻底破功。
智慧城市破功 市府APP平台资安漏洞频传
北市府资讯局近来风波不断，日前斥资700万建置的pay.taipei一上线就发生「背景资料未采用安全的方式传输」问题下架更新，此次花费更高的「Hello Taipei单一陈情系统」却仍发生类似问题。所有的个资不管从哪一个手机系统传输到伺服器这当中，完全没有任何加密，这样近乎全裸的资料，只要使用中间人攻击（Man-in-the-middle attack， MITM）就可以将民众输入的身分证号、帐号、密码甚至投诉的理由全都侧录出去。
谢维洲表示，iOS、Android双手机系统的App，自105年11月1日陆续上线，截至106年6月28日止，就有8770次的下载，并有4663人完成立案；网页版也有52575人完成投诉立案。谢维洲表示，若该程式遭攻击，等于上万名民众的个资已经遭到侧录下载，大骂单一陈情系统变成「单一泄漏个资的系统」。
▼单一陈情系统APP。（图／撷取画面）
对此，资讯局系统发展组股长陈崴逸表示，本来提供给厂商的是中央政府的GCA凭证，但因为不明原因无法通过Google Play的认证，因此要求厂商透过修改程式架构的方式维持资安层级，APP也于去年11月上架；但没想到，今年7月2日发现厂商没有克服漏洞，因此另外提供商业凭证的方式解决。
陈崴逸表示，依照与厂商签订的「单一陈情系统建置案契约书」规范，如果造成损失的话可以对厂商究责，「只要民众通报，厂商一定要负责。」
对于资安泄漏的疑虑，陈崴逸表示，「单一陈情系统」的APP只会要求使用者输入姓名、手机、信箱等基本的联络方式，并没有涉及身分证字号或是信用卡号等；此外，目前已知的APP漏洞，若要攻击的话需要耗费相当高的成本与技术，相对于资料的重要性，目前尚没有传出民众受害的消息。
资讯局：市府APP下半年逐一更新
关于中央提供的GCA凭证无法通过Google Play认证，资讯局主秘陈慧敏表示，去年就有与中央讨论资安检测该怎么进行，市府在今年下半年也要求所有新的app，如果要key身分资料都要进行加密，「市府的26个APP，下半年就有针对要进行加密的逐一更新，如果发现是有问题的会立即更正改进」；此外，必要时也会究责厂商、要求赔偿。