記者陳瑩欣／台北報導
永豐銀行爆發大規模異常轉帳事件，418名客戶在未操作網銀APP的情況下，帳戶竟遭轉出款項，涉及427筆交易、金額高達4176萬元。銀行雖已全數退款，但後續能否躲過金管會裁罰仍是未知數。安侯企業管理董事總經理謝昀澤接受《ETtoday新聞雲》採訪時指出，即使確認遭駭客入侵，也不代表銀行可以免除內控責任。金管會官員則透露，過去第一銀行、遠東銀行曾因遭駭涉及內控缺失，合計挨罰1800萬元。
這起事件前（3）日由多名網友在Threads揭露，受害者控訴明明沒有登入網銀APP，也未進行轉帳，帳戶卻突然少了10萬元，部分民眾更發現，受影響客戶的身分證字號首碼都是「P」。永豐銀總經理莊銘福昨（4）日晚間證實，此次共有418人受到影響，銀行已完成退款並報警處理。
此案最讓資安圈好奇的是，客戶沒有操作APP，交易卻能完成，究竟如何通過生物辨識、簡訊等身分驗證機制，甚至突破非約定轉帳限制，至今仍是外界關注焦點。
謝昀澤說，銀行新系統上線前，通常得完成上百項測試，程序相當複雜，若駭客真能突破重重關卡，甚至繞過雙重驗證，相關手法勢必成為資安界研究焦點。不過，實際攻擊途徑及驗證機制是否遭突破，仍待檢調釐清。
新系統上線像踩雷 專家揭客製化風險
談到銀行系統升級為何容易出包，謝昀澤形容，「換系統和開新車不太一樣」，新車出廠前已有標準化品管，但銀行資訊系統多是客製化導入，即使在供應商環境運作正常，接入銀行既有系統後，仍可能因設定、整合方式不同而發生問題。
他指出，尤其系統整併、新舊平台轉換時，應用環境變動大，風險自然提高，但銀行也不可能因此停止升級。部分沿用多年的IBM傳統系統，維護成本愈來愈高，加上新型金融服務需求增加，舊系統難以支應，汰換仍有必要。
遭駭不是免死金牌 2銀行曾挨重罰
銀行遭駭是否就能免責？金管會官員指出，過去已有裁罰前例。2016年第一銀行ATM遭駭客遠端操控盜領，因資安及內控缺失遭罰1000萬元；2017年遠東銀行SWIFT系統遭駭，涉及約6010萬美元、折合新台幣約18億元異常匯款，金管會也開罰800萬元，兩案合計1800萬元。
兩起案件均涉及《銀行法》第45條之1第1項內控規定，並依同法第129條第7款裁罰。依現行法規，銀行若未確實執行內控制度，法定罰鍰為200萬元至5000萬元。
據了解，永豐銀此次除了釐清駭客如何完成轉帳，也須檢視委外供應商導入程序、合約內容及系統驗收是否落實。即使銀行已表態要向國外系統供應商求償，也不能因此排除銀行自身的內控責任。