427 筆 4176 萬元：從「程式異常」到「遭駭」

刀客破門而入，守衛至少知道有人闖入。最令人不安的，是門鎖安然無恙、監視器照常運轉，錢卻自己走了出去。2026 年 11 月 3 日，永豐銀行客戶的 427 筆轉帳、幾乎每筆均為 10 萬元，而全數流向台北富邦銀行同一個老翁的帳戶。銀行起初說是「新網銀交易系統」程式異常；11 月 4 日傍晚，董事長與總經理公開鞠躬致歉，改口為外部駭客利用供應商程式的原生瑕疵。「異常」變成「遭駭」，問題並未變少：駭客利用了系統的什麼弱點？進入路徑？目的何在？為什麼是那位渾然不覺的老翁？計劃中的下一步？駭客與系統供應商的關係？

1. 已知與未知：我們所面對的挑戰

以下是截至 11 月 4 日晚間，銀行記者會與多家媒體可交叉對照的事實；標註「據悉」者，來源為匿名消息，須審慎看待。

記者會給了三個說法：駭客利用新網銀交易系統供應商程式的原生瑕疵；駭客以「隨機試誤」取得有效帳戶，所以受害者身分證字號集中於 P1，並非事先取得個資；銀行端查無個資外洩軌跡。同時，銀行對三件事選擇不說：客戶未開 App 為何出現臉部辨識通過、收款帳戶為何是這一個、以及更多細節，理由是刑事偵辦中。據報導，這個富邦帳戶並非人頭戶，警方初步清查持有人為一名老翁，未發現涉案。

時序問題依舊存在，只是更精確了：銀行表示客服 09:29 起接獲陳訴，並稱 30 分鐘後即採取行動；但口頭通報銀行局是 12:50，相隔約 3 小時 20 分。這段時間裡，銀行何時把客訴認定為重大偶發事件？而偵得這起事件的，仍然是客戶，而非銀行自己的監控，這也令存戶難以釋懷。

2. 數字與線索

關鍵數字

金管會 11 月 3 日的統計是 419 人、427 筆、每筆 10 萬元（約 4,270 萬元）；銀行 11 月 4 日則改稱 418 戶、427 筆、總額 4,176 萬元，同時說每筆都是 10 萬元。按理，時序上的後者應該更準確。無論如何，4,270 除以 418（或419）都小於 10 萬。也許口誤，說的是大部分都是 10 萬。可能駭客初期的測試交易金額較小（據悉，從 1 萬元起試、逐步加到 10 萬元），直到確認 10 萬的上限，隨即一路 10 萬到底。那麼：

• 駭客如何知道目標存戶有 10 萬以上的存款供轉帳？若採盲試，或如銀行所說的隨機試誤，系統必有大量存款不足的失敗交易記錄可查：試有效帳號？試限額？抑或試存款夠不夠？
• 既然說隨機試誤，按理將因此產生大量失敗交易，此時系統的風控警報在哪裡？是密集電話鈴聲嗎？
• 永豐的規定是非約定轉帳（需啟用動態密碼認證）單筆 5 萬、單日 10 萬；單日 10 萬限額似乎發揮了作用，單筆 5 萬呢？

神秘的收款人

事件既已從程式異常轉為駭客，問題就從「程式為何知道外部帳號」，變成「為什麼是他」。該名長者為教職退休，月前曾報案指被假投資詐騙，背景單純。據悉，老翁赴其他銀行ATM提款時領不出錢，詢問行員原因，之後又接到警方電話聯繫，才知捲入此案，覺得莫名其妙。而據警方初步判定，持有人應為無辜民眾。對以獲利為目的的駭客，這是個奇怪的選擇。攻擊者當然可以任意指定收款人，但選擇單一收款帳戶（款項又迅速遭凍結）而不分散人頭戶，非專業作為。

• 若目標在於揭露軟體廠商的漏洞，而不是錢，那麼駭客和廠商是否有關聯？不滿的員工？
• 收款人曾遭詐騙，難道是詐騙集團員工拙劣的想彌補自己的罪過？

中彩的 P1 苦主

雲林沒有永豐的分行，所以這批客戶很可能不是以分行據點分群。銀行的解釋是「隨機試誤」，並稱查無個資外洩軌跡。但真正隨機的試探不會只落在一個字首；若不是攻擊者主動限縮範圍，就是依序掃描，或從某個命中點向相鄰編號擴散。

銀行說的「無外洩軌跡」，指的是它自己的系統；健保、社福或其他第三方資料庫仍可能外洩。名單外流本身無法動用一毛錢，它指出獵物，但無法開鎖。漏洞仍是那扇沒上鎖的門。但路標外洩，仍是個嚴重的問題。P1 苦主的選定邏輯，應探明背後有無案外案的故事。

隨機試誤，探測的失敗紀錄應遠多於成功，命中率低且散佈於整個 P1 區間；持名單而來，則命中率高，失敗多落在非客戶。另有兩個可檢驗的足跡：把所有位於 P1 區間的永豐客戶依編號排序，標出受害者，若呈連續區間，較像順序掃描，若倖免者散落其間，則較像依名單挑選；再把受害者與同區間、未受害的永豐客戶比較，是否多半以該帳戶繳交勞／健保費或領取年金。若找不到差異，反而支持隨機試誤，因為隨機撞中的人，彼此不必有共同點。這類關聯性，想必也在警方追查之列。

3. 授權鏈：尋找阿基里斯腱

整個轉帳流程中，駭客的進入點決定了跳過的檢核步驟是哪些；反過來推，哪些關卡遭繞道失效，則可協助判定駭入點。

失效的關卡

• App 登入，臉部辨識：客戶表示，沒登入 App，交易紀錄卻顯示「臉部辨識通過」。
• 單筆限額 5 萬：否則 427 筆到不了 4,176 萬
• 限約定帳號：部分客戶表示有設定僅允許約定帳號轉帳，錢卻仍然飛走了。
• 簡訊驗證 OTP：客戶表示沒收到簡訊驗證碼（OTP）

似乎仍然有效的檢核

• 單日限額 10 萬：單日累計有超過 10 萬的情況嗎？看來是沒有，否則總金額不會只有如此。若駭客故意克制，也可能是假象。
• 交易結果通知：所以客戶才急忙電詢。

異常交易看來是從風控檢核的最下游，另闢蹊徑進入系統，可想見其凶險程度。登入與否，約定與否早已不重要。部分有效的檢核，意味交易不是直接資料庫裡偷偷竄改，而是走過了部分的正常交易與通知流程。既然銀行稱缺陷在供應商程式，那麼，缺陷究竟開在哪一道門？

攻擊者如何得知介面格式？若為廠商的共通介面，使用同一產品的其他銀行也會暴露。交易的發起來源是客戶工作階段（Session）還是廠商自留的後門？API 閘道日誌中的來源 IP、呼叫序列與憑證記錄為何？

4. 對金融 IT 與管理層的意義

對營運面來說，這起事件打破了安心感的基本假設：「設有風控規則」不等於「所有交易都經過風控規則」。限額、約定帳戶、驗證三道關卡，只有在每一筆交易必經的路徑上才有意義。若有一條路徑可繞過它們，三道關卡就像三扇沒有牆的門。

銀行表示，這套系統在台灣銀行業只有永豐使用，將向供應商求償。求償是權利，卻不能卸下責任：業務可以委外，責任無法委外。把城門的鎖交給外面的工匠鑄造，鎖壞了可以向工匠索賠，但城牆上的缺口，主管機關看的是守城的人。「只有永豐使用」還有另一層意思：這套系統沒有經過同業共同的檢驗。據悉，該供應商也服務多家國際銀行；若屬實，同一瑕疵可能存在於他處，銀行透過 F-ISAC（金融資安資訊分享與分析中心）分享情資，是必要之舉。

11 月 12 日的調查報告，是檢驗這家銀行誠意與能力的關口。重新上線前，銀行如何證明同一條路徑已封死，並說明這扇門在 11 月 3 日之前，被敲過幾次？銀行可以在數小時內停用服務、返還款項，這是對客戶的交代。但真正要交還的，是一份可驗證的保證：每一筆從帳戶流出的錢，都能回溯到一個真實的授權。

九層之臺，起於累土；而一家銀行的信任，也可以瞬間崩坍於一筆無人授權的十萬元。

參考資料

• 聯合新聞網：永豐銀行 418 名客戶帳戶被駭，董總道歉，將向國外廠商求償
• 知新聞：永豐銀 400 人遭盜 4000 萬，刑事局證實駭客所為（匿名消息）
• 聯合新聞網：沒登入 APP 錢卻飛了，永豐銀 419 人遭轉走逾 4,000 萬元
• 鉅亨網：金管會，永豐網銀異常盜轉 4000 多萬元、419 人受害，11/12 前須交報告
• 鏡週刊：永豐網銀爆大規模盜轉，身分證字號「P1」開頭疑遭鎖定
• Business Insider Taiwan：永豐銀新版 App 異常轉出逾 4,000 萬元