針對近期銀行遭駭事件，KPMG 安侯企業管理董事總經理謝昀澤表示，網銀交易如同銀行臨櫃服務，即使查得帳戶資料，仍須確認客戶是否有權動用存款，並核對客戶是否同意該筆交易的收款對象與金額。謝昀澤指出，攻擊者可能透過反覆試誤找出有效帳戶，而當銀行系統誤認操作者身分、未確實核對交易授權，或將其他程式傳送的指令視為已獲客戶確認，就可能造成非客戶本人意願的交易被放行。
因此，銀行不能只確認前一道程序是否顯示「驗證完成」，而應在真正扣款前，再確認這筆交易是否確實經過客戶授權，包括轉給誰、轉多少錢，以及所使用的裝置與操作情境是否合理。他強調：「網銀安全的最後一道防線，不只是確認誰登入，而是在扣款前確認：轉給誰、轉多少，是否真的是客戶的意思。」
謝昀澤建議，針對高風險匯款，銀行應將客戶身分、裝置、交易內容、收款人與金額等資訊一併確認，而非只依賴前一道系統傳來的「已驗證」結果。
不過，他認為，就目前公開資訊來看，銀行已表示事件與新網銀交易系統供應商的安全設定有關，並已採取加強驗證與異常交易監控等措施；至於完整攻擊方式，以及各系統間如何受到影響，仍待後續調查釐清。
銀行 App 上線前通常會進行功能與資安測試，也可能委託第三方檢測，為何仍會發生這類事件？KPMG安侯建業執行董事林大馗指出，關鍵在於測試的深度、廣度及有效性。測試不僅要確認正常轉帳能否完成、檢查原始碼與個別元件的安全性，也須涵蓋 App、驗證服務與扣款系統串接後的完整交易流程。他說，資安測試不是做過就代表安全，關鍵在於測得夠不夠深、夠不夠廣，以及有沒有涵蓋真正的端到端交易流程。他提醒，後續可優先檢視身分驗證、裝置管理、交易確認，以及銀行與交易相關系統之間，是否正確傳遞並檢核客戶授權狀態，特別是新系統上線前，不只要測它能不能正常交易，更要測沒有客戶授權的交易，能不能確實被擋下來。
謝昀澤分析，從台灣金融業過去的重大資安事件來看，風險經常出現在兩個極端，一是運作多年的老舊系統，另一個則是剛上線的全新系統或元件。老舊系統可能存在尚未修補的漏洞；新系統則可能因管理者尚未熟悉安全設定，或未經足夠完整的測試即上線，而增加失控風險。對金融業者而言，管理重點是讓老系統有明確的修補與汰換計畫；新系統上線前，則應以接近正式營運的設定，從 App、驗證服務一路到後端扣款，完整跑過端到端交易流程。此外，銀行也應事先規劃系統上線後如何監控異常，以及發生重大異常時，如何迅速暫停受影響的功能。
對用戶而言，謝昀澤認爲一般台灣民衆不需因此事件而過於恐慌，不敢使用網銀。近年在金融監理機關的強力監管，以及銀行配合下，仍應對台灣金融科技的應用，充滿信心。但他也提醒，網銀使用者應開啟銀行提供的轉出或扣款通知。交易通知雖不能取代銀行本身的安全控制，但能協助用戶及早發現異常。若發現非本人交易，應直接透過銀行官方 App 或官網提供的客服管道通報。
KPMG《2026 全球 CEO 前瞻大調查》顯示，將資安列為主要成長風險的受訪 CEO 比例由 23% 上升至 31%，排名躍居全球首位。謝昀澤表示，數位服務愈普及，系統在短時間內處理的交易愈多，一處授權缺口也可能迅速波及大量客戶。「金融業追求的不只是交易成功率，更要確保每一筆成功的交易，都是客戶真正授權的交易。」他強調：「交易速度能帶動成長，交易安全才能守住客戶信任。」
（本文訊息由 KPMG 提供，內文與標題經 TechOrange 修訂後刊登。新聞稿 / 產品訊息提供，可寄至：[email protected]，經編輯檯審核並評估合宜性後再行刊登。圖片來源：Unsplash。）
