吳碧娥╱北美智權報 編輯部
近期銀行網銀遭駭事件頻傳，引發外界對金融資安防護的關注。儘管銀行App上線前皆會進行功能與資安測試，為何仍會出現防護漏洞？KPMG安侯建業專家指出，網銀安全的最後一道防線並非僅是確認登入身分，而是在實際扣款前，確實核對交易授權的完整性與合理性。隨著數位金融服務日益普及，KPMG《2026全球CEO前瞻大調查》顯示，將資安列為主要成長風險的全球CEO比例已由23%上升至31%位居首位，凸顯金融業在追求交易速度帶動成長的同時，更須以交易安全守住客戶信任。
扣款前確認授權為資安最後防線
針對近期網銀遭駭事件，KPMG安侯企業管理董事總經理謝昀澤表示，網銀交易如同銀行臨櫃服務，即使攻擊者查得帳戶資料，銀行仍須確認客戶是否有權動用存款，並核對客戶是否同意該筆交易的收款對象與金額。攻擊者常透過反覆試誤找出有效帳戶，若銀行系統誤認操作者身分、未確實核對交易授權，或將其他程式傳送的指令直接視為已獲客戶確認，就容易讓非本人意願的交易闖關成功。他強調銀行不能只依賴前一道程序的「驗證完成」訊號，而應在真正扣款前，將客戶身分、裝置、交易內容、收款人與金額等資訊一併確認，確保轉給誰、轉多少錢確實是客戶本意。至於近期銀行事件，目前公開資訊顯示與新網銀交易系統供應商的安全設定有關，銀行已採取加強驗證與異常監控等措施，完整攻擊方式與系統影響仍待後續調查釐清。
端到端完整測試防堵未授權交易
探究銀行App歷經測試甚至第三方檢測卻仍遭駭的原因，KPMG安侯建業執行董事林大馗點出關鍵在於測試的深度、廣度及有效性。資安測試不能僅確認正常轉帳能否完成或檢查原始碼安全性，更須涵蓋App、驗證服務與扣款系統串接後的完整流程。他提醒資安測試不是做過就代表安全，後續應優先檢視身分驗證、裝置管理、交易確認等環節，確保銀行與交易相關系統間能正確傳遞並檢核客戶授權狀態。特別是新系統上線前，不僅要測試能否正常交易，更要嚴格測試沒有客戶授權的交易能否確實被系統擋下。
新舊系統皆具風險，用戶應開啟交易通知
從台灣金融業過去的重大資安事件分析，謝昀澤指出風險經常落在兩個極端，一是存在未修補漏洞的老舊系統，另一則是管理者尚未熟悉安全設定或未經完整測試即上線的全新系統。金融業應為老系統制定明確的修補與汰換計畫，新系統上線前則須以接近正式營運的設定，完整跑過端到端交易流程，並事先規劃異常監控與重大異常時的暫停機制。對一般民眾而言，在金融機關強力監管與銀行配合下，無需過度恐慌而拒用網銀。謝昀澤建議用戶應主動開啟銀行提供的轉出或扣款通知，雖不能取代銀行的安全控制，但能協助及早發現異常，若察覺非本人交易，應立即透過官方App或官網客服管道通報。謝昀澤強調，數位服務愈普及，系統在短時間內處理的交易愈多，一處授權缺口也可能迅速波及大量客戶。金融業追求的不只是交易成功率，更要確保每一筆成功的交易，都是客戶真正授權的交易。雖然交易速度能帶動成長，唯有交易安全才能守住客戶信任。
|
