3月18日，個人資料私隱專員公署（私隱專員公署）收到南華體育會的資料外洩事故通報，涉及約7萬名受影響人士。私隱專員公署已完成對事故的調查，調查報告指，南華會對保障所持有的會員個人資料意識薄弱，裁定南華會違反《個人資料私隱條例》，已向南華會送達執行通知，要求糾正。

　據公布，受外洩事件影響的南華會會員數目為72315人，所涉及的個人資料包括姓名、香港身份證號碼、護照號碼等。私隱專員鍾麗玲在調查報告指，南華會對保障所持有的會員個人資料意識薄弱，對於南華會事前未能採取有效資訊系統保安措施，感到非常失望，裁定南華會違反《個人資料私隱條例》，已向南華會送達執行通知，要求糾正。

　調查報告指出，黑客早於2022年1月已在南華會其中一台與互聯網連接的伺服器內安裝惡意程式，到今年3月，黑客透過潛伏在相關伺服器內的惡意程式，入侵南華會網絡，並安裝遠端控制軟件，隨後透過遠端存取對南華會的電腦系統展開暴力攻擊，並進行其他惡意活動，最終透過勒索軟件將載有會員個人資料的檔案加密。有關勒索軟件屬 Trigoma的變種，外洩事件導致南華會共8台伺服器、1台數據儲存器及18台電腦遭受勒索軟件攻擊及加密。黑客曾要求南華會支付贖金，為已被加密的檔案解鎖。

    報告續指，南華會的伺服器被意外暴露在互聯網，成為黑客入侵的跳板。南華會資訊系統亦欠缺偵測措施，未有啟用密碼輸入失敗後的鎖定功能，令黑客可以在4小時內嘗試登入2萬次。南華會亦無為管理員賬戶啟用多重認證功能，欠缺保安政策及指引等。

    私隱專員公署已向南華會發出執行通知，要求每年至少審視一次個人資料系統連結互聯網的必要性，定期檢視及更新偵測及警示工具，聘請獨立資訊保安專家每年進行風險評估及保安審計。南華會須在2個月內提交改善措施的證明文件。

    私隱專員公署表示，外洩的個人資料或已被轉賣多次，提醒受影響人士要提高警惕，留意個人銀行戶口有無異常交易，並應更改登入密碼，啟用雙重認證功能等。公署又呼籲，受黑客入侵的機構不應提供贖金，交贖金不等於能取回資料，只會助長非法行為。