【永豐銀事件】駭客直攻交易系統　民眾無能為力？專家建議錢包「分艙」、不明款項別自行退款

永豐銀行的新網銀交易系統3日驚傳駭客入侵，受害用戶陸續在threads分享「被轉帳」歷程，有人根本沒有開啟網銀App、有人甚至交易紀錄顯示「臉部掃描確認」。當駭客直攻系統後端、而非用戶操作出問題，一般人該如何自保？專家建議，可更超前部署，把自己的資產「分艙」管理，並提醒帳戶出現不明款項時，應通報165通報留下記錄、切勿自行退款，以免被誤認為洗錢共犯。

永豐銀董總4日召開記者會證實，本次事件共影響418人、合計4,176萬元，內部經查為外部駭客利用新網銀交易系統的供應商安全設定，造成客戶帳戶款項遭不明轉出。永豐銀已於3日下午2點51分將所有不當匯款歸還給客戶，該交易系統目前台灣尚無其他金融業導入。

民眾遇駭客攻擊無法自保？　專家建議資產「分艙」


款項雖退回，民眾的不安已經造成。《太報》5日詢問金管會，除了被動等待銀行通知，可提供民眾哪些自保建議。金管會官員表示，案件由檢調處理中，不便對外說明。記者進一步追問，是否意味著駭客入侵系統，民眾就束手無策？官員回應，仍要視侵入手法而定，根據永豐銀新聞稿，該案是駭客入侵交易系統所致，這就不是民眾進到假網頁、人臉特徵被破解等外部登入狀況。官員也表示，金管會12日收到永豐銀報告後，會再依程序進一步了解。

前刑事警察局預防科科長、銘傳大學犯罪防治系助理教授林書立接受《太報》採訪時，則建議民眾可比照潛水艇的「分艙」設計，來管理錢包：

●　第一艙：綁定手機、行動支付的小額帳戶，只放短期花用的錢。
●　第二艙：使用網路銀行的中層帳戶，處理一般繳費與轉帳。
●　第三艙：設定約定轉帳的帳戶，專供商業往來或家人間資金移轉。
●　第四艙：不開通網路功能、須臨櫃或實體提領的帳戶，存放積蓄與大額資金。若有可疑人士前來提領，銀行人員也能協助過濾。

林書立比喻，潛水艇任一艙區進水，只要立即關閉艙門，就不致危及全艇；同樣地，任何一個「金融水艙」出了問題，民眾都能立即封鎖該帳戶、啟動安全管控，把損失限縮在最小範圍。

不明款項匯入別自行退款　先打165、留證據

據了解，永豐銀事件中，4千多萬款項都被轉入一名七旬老翁的帳戶，老翁是去領錢發現無法提款，才得知帳戶涉案。林書立提醒，當民眾發現帳戶匯入不明款項，絕對不可立即退款，應先打165說明狀況，165通話會自動錄音，可留下處理記錄，避免這筆錢是另一個被害人轉到你帳戶，日後反被誤認為洗錢共犯。

若需向銀行說明，林書立也建議要用email寄送截圖與文字留存，而非只打電話溝通。

另外，民眾發現款項遭匯出，第一時間可能會驚慌想改密碼。林書立表示，此次永豐銀事件駭客入侵不是突破個資取得密碼或生物辨識OTP，而是繞到後端攻擊，民眾不用急著改密碼，目前可做的是等銀行釐清與委外單位的責任。他也提醒，有些駭客手法是在用戶手機植入分享軟體，改密碼過程反倒被對方看得一清二楚，需特別留心。

委外「可分工、不可卸責」　金管會規劃供應鏈納F-ISAC


林書立表示，越來越多企業將行銷平台、系統與App委外經營，但要認清「委外可以分工，卻不能卸責」，消費者面對的是品牌，不是幕後的系統商，供應鏈資安稽核、上線前滲透測試與持續弱點管理，都應列為企業經營核心。

供應鏈資安方面，金管會資訊服務處處長林裕泰4日在資安論壇表示，金管會正規畫讓供應商加入原先只開放給金融業者的資安聯防平台F-ISAC。資訊服務處副處長王明德5日接受《太報》採訪進一步說明，F-ISAC規劃分級，例如將金融機構列為「正式會員」，供應鏈業者則為「準會員」等概念，資安情資分享範圍也會依此分級。

王明德表示，目前規劃供應鏈加入條件為「金融機構推薦」，但由於涉及家數眾多，尚待金融機構推薦後，才能進一步了解要納入哪些層級或類型，目前尚無明確公告期程。他也澄清，這類「強化供應鏈資安」規劃，是依循金管會《金融資安韌性發展藍圖》既定運作方向，並非受近期資安事件驅使。

資安防治需「黃金時間」　專家示警零售電商起步較晚


近期國內重大資安事件頻傳除了永豐銀事件，電商雲端服務商91APP的訂單資料庫也遭駭，初估涉及1,329個品牌、近480萬名消費者。林書立表示，兩起事件性質不同，卻顯示駭客無時無刻都在測試系統漏洞。

林書立指出，永豐銀發現異常後，通報主管機關、警政單位與收款銀行，款項全數圈存並於當日返還客戶，同時透過F-ISAC向同業分享情資，掌握資安事件處理的「黃金時間」，但相較金融業已有F-ISAC長期運作，零售與電商業者在情資分享上明顯起步較晚。

林書立指出，91APP從首次接獲詐騙客訴到確認攻擊破口，歷時約10天，若產業間早有情資交換平台，或許能更早拼湊出全貌。他表示，政府目前正規畫推動零售業R-ISAC，他對此表示肯定，認為有助於加速情資流通。

林書立強調，AI時代犯罪者不必很厲害，就能藉AI「偷」別人的入侵手法，進一步「以子之矛，攻子之盾」，防治數位犯罪絕非單一企業或政府資訊部門的責任，需要企業提升防護、政府加強監控、產業彼此分享，才能築起防阻金融犯罪的防護牆。