ATO发现VIQ转录文本可从英国网站下载，ASIC未核查其他政府机构风险

据ABC News Australia披露的信息自由（FOI）文件，负责管理VIQ与政府机构供应商关系的证券和投资委员会（ASIC），在澳大利亚税务局（ATO）发现一份转录文本可从英国网站下载后，没有独立核查其他政府机构是否受到影响。至少13个政府机构在ASIC于2026年3月19日将VIQ从AusTender批准供应商名单中移除前使用过该公司。这个数字说明服务覆盖至少13家机构，不能据此认定这些机构都发生了泄露。

警报最早出现在2025年3月。ATO收到VIQ发来的邮件，邮件所附链接指向一份可从英国网站下载的转录文本。ATO一名主管在内部邮件中警告，这似乎表明VIQ已允许客户数据在澳大利亚境外被共享、访问或使用，并对ATO构成“严重关切”。ATO和ASIC随后都建议工作人员暂停使用VIQ转录服务，直至获得更多信息。

ABC News Australia报道称，法院和联邦政府机构的敏感数据不得在境外存储或处理，原因是潜在黑客攻击及国家安全风险。ATO发现的链接因此不只是指向一份转录文本，也提出了一个必须由政府回答的问题：供应商究竟把哪些客户材料送往何处，又由谁负责独立核实。

ATO随后要求ASIC评估其他政府机构是否也受到影响，因为ASIC负责管理当时作为政府首选供应商的VIQ与各机构的关系。ASIC一名工作人员回应称，这件事将在其自身调查结束后讨论；现有邮件未显示该讨论后来是否实施。ATO一名主管称，VIQ的回应存在“潜在不一致”，并称“询问越多，发现的影响越多”。

到2025年5月初，ASIC依据VIQ提交的报告，把涉及自身数据的事件定性为“未遂事件”，并认定ASIC自身数据没有被泄露。ASIC在5月12日的邮件中表示，将与VIQ合作落实风险缓解和流程改进。但这一结论建立在供应商报告之上，只覆盖ASIC自身数据，没有回答还有哪些机构使用VIQ、这些机构提交的材料后来去了哪里。

面对ABC News Australia追问是否曾向其他使用VIQ的政府机构通报时，ATO称已向负责管理潜在数据泄露、评估联邦政府面临的风险的负责人报告此事。ASIC则称已采取“适当行动”，并称VIQ负责依照另行安排通知受影响机构。然而，公开文件没有显示一次覆盖所有用户的独立核查。

ABC News Australia还报道称，ATO和ASIC发出警报近一年后，家庭法院和联邦法院数据被送往境外的事件被公开，VIQ随后进入接管程序并最终关闭；相关法院数据泄露调查仍在继续。

据ABC News Australia报道，McGrath Nicol在7月的管理人报告中称，数据泄露对VIQ争取订单的能力产生“不利影响”，并认为VIQ董事可能因未谨慎、勤勉行事而违反义务。

这批FOI文件显示，ASIC在处理自身风险时依赖VIQ提交的报告，却没有独立核查其他用户；ATO提出的跨机构影响疑问，仍未转化为有文件证明的全面评估。“未遂事件”认定只涉及ASIC自身数据，不能说明其他机构是否受到影响，也不能确定哪些材料曾被境外访问、处理或使用。VIQ被移出AusTender名单切断了后续准入，却无法补全此前的影响范围。可从英国网站下载这一事实本身，也不等于已经查明全部离境数据范围。截至报道发布，邮件仍不能证明后续跨机构评估是否实施，法院调查也未结束。