新加坡伊斯蘭宗教理事會（MUIS）所轄清真寺與宗教學校（madrasahs）使用的 SmartHRMS 人事薪資系統，於 2026 年 8 月 30 日至 31 日遭駭客組織發動勒贖軟體攻擊，系統與備份資料慘遭加密鎖定，直接衝擊薪資發放作業。
該系統由新加坡本地軟體商 Avelogic 提供，透過 MUIS 旗下的「清真寺-宗教學校-瓦克夫共享服務委員會」統一管理，目前服務範圍涵蓋新加坡 72 間清真寺中的 69 間及 3 所宗教學校。初步調查雖未發現資料遭大規模外洩，但無法完全排除零星外洩風險；Avelogic 已於 9 月 7 日更新公告指出，駭客同時加密了主要資料庫與備份副本，公司一度面臨「無還原點」的災難性情境。
事件爆發後，Avelogic 已正式向警方報案，並通報個人資料保護委員會（PDPC），同步委請獨立資安鑑識團隊進行數位鑑識調查，目標在 9 月 18 日前全面恢復系統運作。受影響機構已啟動業務持續運作計畫，改以人工方式緊急處理薪資作業，避免影響員工生計。
本事件本質為一場針對第三方薪資服務供應商的供應鏈資安攻擊，其深層結構性矛盾可從技術演進脈絡與監管框架兩個層面解析，並不適合以政商陰謀或地緣博弈的角度來詮釋。
首先，從第三方 SaaS 服務集中化趨勢來看，MUIS 透過「共享服務委員會」將 69 間清真寺與 3 所宗教學校的薪資作業集中委外給單一供應商 Avelogic，雖帶來規模經濟與管理效率，卻也形成「單點失效」（Single Point of Failure）的高風險脆弱點。一旦核心 SaaS 供應商遭攻擊，所有下游客戶機構將同時陷入營運癱瘓，這正是當前全球企業資安防線最頭痛的結構性盲區。
其次，勒贖軟體的戰術演進值得高度關注。駭客此次不僅加密主資料庫，更同步摧毀備份副本，使傳統「還原備份」的標準應變劇本完全失效；同時輔以「雙重勒贖」（Double Extortion）手法，先嘗試竊取資料，再威脅公開外洩。這種「加密＋威脅洩漏＋摧毀備援」的複合式戰術，已成為 2024 年以來 LockBit、BlackCat、Cl0p 等頂級勒贖集團的標準作業流程。
第三，從個資保護法規層面觀察，新加坡 PDPC 自 2022 年修法提高罰則後，重大違規可處以最高 100 萬新幣或年營收 10% 的罰款（以較高者為準），並強制要求通報。此次 Avelogic 主動通報與公開揭露，雖符合法規要求，卻也凸顯新加坡乃至全球中小型 SaaS 廠商在資安治理成熟度上的嚴重落差——多數中小型軟體商缺乏 SOC 2、ISO 27001 等級的資安認證，亦無專屬的資安長（CISO）編制。
最後，從宗教機構的數位轉型兩難來看，新加坡清真寺與宗教學校肩負社會教化與慈善瓦克夫（公益信託）資產管理重任，一旦薪資系統癱瘓，影響的不僅是 IT 系統，更是基層宗教教育工作者（伊瑪目、教師、行政人員）的生計穩定，這也迫使機構必須在數位化效率與資安防護成本之間尋求新平衡。
回顧 2017 年 WannaCry、2021 年 Kaseya VSA 供應鏈攻擊、2023 年 MOVEit 漏洞事件，每一次重大 SaaS 供應鏈勒贖事件都促使全球資安監管與產業實務產生典範轉移。本次新加坡清真寺薪資系統遭攻擊，極可能成為亞太地區宗教與非營利機構資安治理的轉捩點。以下預測三種未來情境：
面對日益嚴峻的第三方 SaaS 供應鏈攻擊威脅，各界利害關係人應採取以下具體行動：
01 起因觸發：Avelogic 旗下 SmartHRMS 系統於 8 月 30 日遭駭客組織滲透並植入勒贖軟體
02 一階傳導：新加坡 MUIS 所辖清真寺與宗教學校薪資作業全面停擺，數十所機構被迫改採人工發薪
03 二階擴散：個資外洩風險升高，衍生潛在的身分盜用與精準詐騙威脅，並觸發 PDPC 啟動正式調查
04 宏觀終局：新加坡乃至亞太地區 SaaS 資安合規標準全面升級，宗教與非營利機構被迫重新檢視數位委外策略
因果網路圖譜 3 節點
可拖曳節點 · 點兩下開啟文章