刀客破門而入，守衛至少知道有人闖入。最令人不安的，是門鎖安然無恙、監視器照常運轉，錢卻自己走了出去。2026 年 11 月 3 日，永豐銀行 419 名客戶、427 筆交易、每筆 10 萬元，合計約 4,270 萬元，全數流向台北富邦銀行同一個帳戶。銀行說是「新網銀交易系統」程式異常，款項已全額代墊返還。退款解決了客戶的帳，卻留下最費疑猜的關鍵問題：這個異常，為什麼知道要把錢送去哪裡？
1. 已知與未知：先把地面踩實
以下是截至 11 月 3 日晚間，多家媒體交叉可確認的事實。
| 約 09:38 | 有網友在社群平台描述帳戶遭轉出 10 萬元（單一客戶說法，未獨立證實）。 |
| 10:48 | 刑事局 165 專線接獲首批通報，協助聯繫收款銀行圈存。 |
| 12:16 | 刑事局統計已受理 68 件報案，受害者多數為 P1 開頭（雲林籍男性）身分證字號。 |
| 近中午 | 永豐銀行以電話向金管會通報；收款銀行已暫時凍結該帳戶。 |
| 下午 | 金管會證實 419 人、427 筆、每筆 10 萬元；新版 App 下架，銀行以代墊方式返還本金與手續費，並須於 11 月 12 日前提交調查報告。 |
尚未揭露的部分同樣重要：異常交易由哪個元件發起、是否涉及外部入侵？警方目前先朝妨害電腦使用罪偵辦，這與「程式異常」的說法並不互斥，但也代表案件性質未定。
一個易被忽略的時序問題：偵得這起事件的，似乎是客戶與社群平台，而非銀行自己的監控。以現有資料推測，從最早的客戶反映到銀行通報主管機關，中間隔了一段時間。這段落差，報告應該交代。
2. 三個數字，三條線索
第一，427 筆全是 10 萬元。人為操作與真實客戶需求，都不會長成這種分布。整齊劃一的金額，指向由規則或參數產生的交易。
第二，全部流向同一收款人。這是對「程式異常」說法最大的考驗。單純程式缺陷會產生錯誤，但不會自行知道一個外部帳號。收款帳號必來自某處：設定檔、測試資料、被竄改的請求內容，或某個擁有交易權限的人或程式所輸入。推論至此，「異常」兩字已無法解釋，銀行必須說明這個收款帳號是從哪裡進入系統的。
第三，427 減 419 等於 8。交易筆數多於客戶數，表示至少有 8 筆是同一客戶被轉了第二次。這很像重試（Retry）或重複執行的痕跡，也引出冪等性（Idempotency，同一請求無論執行幾次結果都相同）控制是否存在的問題。
合理判斷：若對照台灣的非約定轉帳限額（單筆、單日約 3 萬，單月 10 萬），一筆 10 萬元的非約定轉帳原本就不該通過。有客戶表示自己設定了僅限約定帳戶轉帳，仍然被轉出。這表示限額與約定帳戶檢核根本沒有執行，也就是說，異常交易很可能是從風控檢核的下游，或另一條路徑進入系統的。實際限額設定須以永豐的規則為準。
3. 授權鏈：三個假說與各自的破綻
客戶端證據出現一個矛盾組合：沒登入 App、沒收到簡訊驗證碼（OTP），交易紀錄卻顯示「臉部辨識通過」，事後 App 與通訊軟體的交易通知又照常發出。這意味交易不是在資料庫裡被偷偷竄改，而是走過正常的交易與通知流程。以下是三個假說，以及可用來檢驗的證據。
| 假說 | 支持與破綻 | 可用來判別的證據 |
|---|---|---|
| A. 授權結果被偽造或重放（Replay，重送舊請求） | 可解釋「臉部辨識通過」的紀錄，但需要攻擊者知道驗證結果的格式；若為程式缺陷，則需要解釋收款帳號從何而來。 | 各筆交易的授權憑證是否可追溯到真實的生物辨識事件、裝置與時間。 |
| B. 內部服務或批次作業直接呼叫交易介面 | 可解釋金額一致、收款帳號固定、重複執行與限額失效；與銀行「程式異常」的說法最吻合。破綻是：誰設定了收款帳號？ | 交易的發起來源是否為服務帳號而非客戶工作階段（Session）；是否有對應的排程、部署或變更紀錄。 |
| C. 大規模裝置綁定（Device Binding）或帳號接管 | 外部攻擊者取得客戶資料後，把自己的裝置綁到客戶帳戶。破綻是：客戶描述沒有收到驗證簡訊，且批量操作 419 個帳戶卻只用單一收款人，手法顯得粗糙。 | 受影響帳戶近期是否出現裝置綁定或密碼重設事件；來源 IP 與裝置指紋是否集中。 |
至於 P 開頭集中，坊間有兩種說法。一說是個資外流：健保、社福或駕照等資料庫的名單遭人取得，犯罪者只是「順手」拿來使用。另一說則是批次作業依客戶編號順序處理，在某個上限中斷，留下集中於某個字首的足跡。目前沒有任何公開證據支持前者，社群上的洩漏來源僅是推測。
但名單外流本身無法動用一毛錢。身分證字號是識別碼，不是鑰匙；那些資料庫裡也沒有永豐的帳號與驗證資料。除非永豐有某個介面，把「知道身分證字號」當成「證明你是誰」，否則名單只能指出獵物，無法開鎖。換言之，較合理的圖像是兩者疊加：外部名單負責選人，內部缺陷負責放行。漏洞是那扇沒上鎖的門，名單只是門外的路標；即便是業餘者，只要有路標可循，也走得進去。
這個說法可以被驗證。把所有位於 P1 區間的永豐客戶依編號排序，標出 419 名受害者：若呈連續區間，其間沒有倖免者，較像順序批次；若倖免者散落其間，則較像依名單挑選，此時介面日誌中應有大量對非客戶的探測失敗紀錄。另一個旁證是收款端：427 筆全進單一富邦帳戶，專業洗錢集團通常會分散多個人頭帳戶，如此集中，不是外行，就是參數事先寫死。
也別忽略一個現場細節：雲林沒有永豐的分行，所以這批客戶很可能不是以分行據點分群，而是以戶籍或數位管道開戶。這同樣排除了一部分「地方性資料」的猜測。
以上都是推論：目前所知並無證據能證明是外部入侵，但也無法排除其可能。
4. 對金融 IT 與管理層的意義
對營運面來說，這起事件打破了安心感的基本假設：「設有風控規則」不等於「所有交易都經過風控規則」。限額、約定帳戶、驗證三道關卡，只有在每一筆交易必經的路徑上才有意義。若有一條路徑可繞過它們，三道關卡就像三扇沒有牆的門。
| 控制面向 | 本事件引發的反思 |
|---|---|
| 交易必經路徑 | 是否存在不經風控與授權檢核即可寫入交易的內部介面或服務帳號？ |
| 授權綁定 | 授權憑證是否與客戶、金額、收款帳號、交易識別碼不可分割地綁定，且由伺服端驗證，而不是只記錄一個「驗證通過」的旗標？ |
| 冪等與重複防護 | 同一客戶被轉兩次，系統為何沒有攔下？ |
| 群體風險監控 | 數百筆金額相同、收款人相同的交易，為何要靠客戶回報才被發現？單筆規則看不見的模式，群體規則卻顯而易見。 |
| 端到端稽核 | 能否在數小時內從客戶端、驗證服務、交易引擎到核心帳務重建每筆交易的來源？ |
| 身分識別與身分驗證 | 身分證字號只是名帖，不是鑰匙。系統中是否有任何環節，把「知道這個號碼」視為「確認是本人」？ |
11 月 12 日的調查報告，是檢驗這家銀行誠意與能力的第一個關口。吾人可用三道考題評價它：收款帳號從何而來？交易為何未被限額與約定帳戶機制攔下？重新上線前，銀行如何證明同一條路徑已封死？
銀行可以在數小時內停用服務、返還款項，這是對客戶的交代。但真正要交還的，是一份可驗證的保證：每一筆從帳戶流出的錢，都能回溯到一個真實的授權。
九層之臺，起於累土；而一家銀行的信任，也可以崩坍於一筆無人授權的十萬元。