永豐銀行 11/4 晚間由董事長曹為實、總經理莊銘福召開記者會，說明 11/3 新網銀客戶帳戶遭異常轉出事件的調查結果：外部駭客利用新網銀交易系統「供應商的安全設定」，造成客戶款項被轉出；銀行同時宣布將向系統供應商求償。本站 11/3 的報導當時引述的是「系統程式異常」與 419 名客戶，這篇整理記者會後更新的數字、時間軸與仍未釐清的疑點。
重點
| 項目 | 內容 |
|---|---|
| 受影響規模 | 418 名客戶、427 筆匯出紀錄（11/3 金管會曾說 419 人；11/4 銀行記者會與 11/5 金管會說法為 418 人） |
| 單筆金額 | 1 萬至 10 萬元，多數為 10 萬元 |
| 總金額 | 新台幣 4,176 萬元（中央社 11/4、11/5 報導） |
| 原因 | 外部駭客利用新網銀交易系統供應商的安全設定，客戶款項被不明轉出 |
| 個資 | 銀行表示依目前事證，無個資外洩軌跡，已啟動資安與個資盤點 |
| 款項 | 銀行已全數返還客戶（經濟日報：事件當天 11/3 返還） |
| 後續 | 向供應商求償、已報請司法檢調；金管會要求 11/12 前提交重大偶發完整報告 |
金額數字提醒：經濟日報 11/5 報導的總額為「4,476 萬元」，與中央社的 4,176 萬元不一致；418 人、多數單筆 10 萬元的規模較接近 4,176 萬元，本文採中央社數字，發布前建議再對照銀行書面公告。
事件經過（11/3，台灣時間）
- 上午：系統已有細微徵兆，起初無法判斷是個案或通案。
- 9:29 前後：客服陸續接獲客戶反映。
- 10:00：銀行啟動內部所有程序；約 10:30 通知收款銀行台北富邦銀行，北富銀隨後凍結帳戶。
- 12:00：銀行內部決策，定調為重大偶發事件。
- 12:50：通報金管會銀行局。
- 13:47：了解原因後將新網銀 App 下架，之後看不到相關攻擊。
- 銀行另找第三方顧問與國內專業資安機構協助偵測、調查，並針對攻擊手法進行阻斷與強化驗證。
各方說法與尚待釐清之處
- 「設定」或「程式瑕疵」：中央社與金管會的說法是供應商「安全設定」有問題；經濟日報報導則寫莊銘福證實為供應商「程式原生瑕疵」。實際用字待銀行書面資料確認。
- 為何沒登入也能轉帳：金管會銀行局副局長張嘉魁表示，主要是網銀交易系統設定有問題；案件由檢調處理，不便對外說明。技術細節、駭客來源與供應商資訊，銀行也表示因進入司法程序而不公開。
- 供應商身分：銀行只說是「國外知名廠商」，未公布名稱；已表示掌握證據、有充分理由求償，但預期對方會抗辯，需要時間釐清。
- 還有誰在用這套系統（未核實）：金管會與經濟日報表示台灣尚無其他金融業者導入；中央社轉述莊銘福「據了解目前台灣有 5 家業者使用該系統」。兩種說法的差異報導中沒有說明。
- 身分證字號都是 P 開頭、駭客以隨機方式取得首碼相同的有效帳戶（未核實）：此說僅見於 iThome 報導（經 ICSDA 日報轉述），未在中央社或經濟日報報導中看到。
對你的實務建議
企業／IT 管理者
- 導入第三方交易或網銀系統時，上線前與定期檢查供應商系統的安全設定，並把稽核、事故通報與求償條款寫進合約。莊銘福在記者會上也承認，導入系統必須與供應商完美交接，這次「有些例外」。
- 在交易層設即時告警與自動阻斷，例如「未登入卻有交易」「同一收款帳戶短時間大量入帳」「固定金額批次轉出」（此為一般性建議）。
- 演練重大事件通報：本案從客服接獲反映（約 9:29）到通報銀行局（12:50）約三個多小時，之後須在 7 天內補交完整報告。
- 保存 log、交接文件與供應商往來紀錄，作為後續求償與司法調查的證據；並透過 F-ISAC 等管道與同業交換情資。
一般用戶
- 本案款項已由銀行全數返還；若你是永豐客戶，仍建議這幾天核對帳戶明細。
- 開啟網銀與 App 的交易通知；看到不明轉出，立刻聯絡銀行客服並撥 165。
- 小心藉這次事件冒充銀行的「退款」「帳戶驗證」電話或簡訊；銀行不會要你提供密碼或 OTP，也不要從不明連結下載所謂「新版」App。
- 檢查並調低非約定轉帳限額，不常用的約定帳號可以刪除（一般性建議）。
發表留言