林書立觀點：金融資安攻擊事件是在炫技？資安分享與分析承擔重責！

近日國內接連爆發重大資安事件。永豐銀行新版網銀系統上線後，四百餘名客戶在未登入新版App的情況下，帳戶遭異常轉出逾四千萬元；電商雲端服務商91APP的訂單資料庫遭駭，恐波及一千三百多個品牌、近480萬名消費者，其後多家電商開店平台也接連傳出資安警訊。兩起事件性質不同，卻揭示同一個事實：駭客無時無刻不在測試系統漏洞。

先看系統面。新系統上線初期往往是防護最脆弱的時刻，程式瑕疵、設定疏漏與未修補的弱點，正是駭客發動「零時差攻擊」的目標。永豐銀事件經調查為外國系統供應商的安全設定漏洞遭利用；91APP則是第三方工具未及時修補，讓攻擊者長驅直入。越來越多企業將行銷平台、會員系統與App委外經營，但必須認清：委外可以分工，卻不能卸責。消費者面對的是品牌，不是幕後的系統商，供應鏈資安稽核、上線前滲透測試與持續弱點管理，都應列為經營核心。

再看應變面。永豐銀發現異常後，立即通報主管機關、警政單位與收款銀行，款項全數圈存並於當日返還客戶，同時透過金融資安資訊分享與分析中心（F-ISAC）向同業分享威脅情資，形成聯防警示。這正是資安事件處理中「黃金時間」的關鍵。

值得注意的是，本案駭客的手法更像在試探漏洞，而非炫技。若相關機構未能即時偵測、啟動應變，下一步極可能將款項分散轉入人頭帳戶，甚至跨境洗錢，追討難度將倍增。所幸近年人頭帳戶管制趨嚴，警示帳戶通報與凍結機制日益成熟，人頭帳戶的「存活時間」越來越短，駭客要讓贓款順利變現已非易事。這也說明，資安防護必須與打詐體系接軌，技術防線與金流攔阻缺一不可。

相較金融業已有F-ISAC長期運作，零售與電商業者在情資分享上明顯起步較晚。91APP從首次接獲詐騙客訴到確認攻擊破口歷時十天，若產業間早有情資交換平台，或許能更早拼湊出全貌。政府目前正積極推動零售業R-ISAC，盼藉由產業合作，讓金融、零售、電商與警政之間的情資流通無礙。

資安從來不是單一企業或資訊部門的事，而是攸關社會信任的公共課題。唯有企業負起責任、產業彼此分享、政府整合聯防，才能築起防阻金融犯罪的堅實防護牆。 （相關報導： 姚文成觀點：「依法行政」變「資安破口」！評台酒酒精實名制的擴權危機 ｜ 更多文章 ）

＊作者為銘傳大學犯罪防治學系助理教授、台灣民間反詐騙協會宣導教育委員會主任委員。