這陣子社群平台也傳出華南銀行、北富銀遭盜轉，金管會銀行局副局長張嘉魁表示，這兩案與永豐銀行的情況不同，都涉及受害人行動裝置的 OTP 認證與 IP 認證。這次的重點是永豐銀行：2026 年 11 月 3 日，新網銀系統爆出異常轉帳，銀行說明是外部駭客利用交易系統供應商的安全設定所致。金管會銀行局則表示，銀行與供應商合作時，要做好廠商盡職調查，若沒做好，將開罰。
這起事件到底發生了什麼、金管會的規範寫了什麼、一般民眾又該注意什麼？我們來看看。
事件經過與永豐銀行的說法
永豐銀行在 11 月 4 日由董事長曹為實、總經理莊銘福出面說明，以下是報導整理出的時間軸（11 月 3 日）：
| 時間 | 事項 |
|---|---|
| 9:29 左右 | 客服陸續接獲客戶反映異常扣款 |
| 10:30 左右 | 通知台北富邦銀行，凍結收款帳戶 |
| 12:00 | 銀行內部決策，定調為重大偶發事件；高層會議決議邀請第三方資安團隊協助 |
| 12:50 | 以電話向金管會銀行局通報「重大偶發事件」，晚間補交書面 |
| 13:47 | 掌握可能原因，將新網銀 App 下架 |
| 之後 | 銀行表示款項已全數返還受影響客戶 |
受影響的規模，依銀行修正後的數字：
| 項目 | 數字 |
|---|---|
| 受影響客戶 | 418 人 |
| 異常匯出筆數 | 427 筆 |
| 總金額 | 新台幣 4,176 萬元 |
| 單筆金額 | 1 萬至 10 萬元之間，多數為 10 萬元 |
永豐銀行 11 月 3 日的公告先稱是程式異常，11 月 4 日的新聞稿則改稱原因是供應商安全設定遭駭客利用，本文以 11 月 4 日的說法為準。銀行對原因的說法是：外部駭客利用新網銀交易系統供應商的安全設定，造成客戶帳戶款項遭不明轉出。依目前事證，銀行表示沒有個資外洩的軌跡，並已啟動資安與個資盤點，也引進外部第三方資安團隊，另據中央社報導，銀行準備向系統供應商求償。
數字的落差
金管會在事發初期對外說明的是 419 人、總金額 4,000 多萬元，銀行後來修正為 418 人、4,176 萬元。本文以銀行修正後的數字為準，兩者差異的原因，官方未說明。
駭客手法與外洩內容，目前只有這些
這次的駭客怎麼進來，民報 11 月 5 日的報導寫到，檢調正在調查中，尚不便對外說明。本文不推測手法與原因。
另外，永豐銀行在11 月 4 日的新聞稿中表示，受影響客戶的身分證字號皆以 P 開頭，駭客是以特定手法隨機試誤取得有效帳戶，並非事先取得客戶個資，目前沒有個資外洩跡象。
金管會怎麼說
依民報的報導，金管會的處理重點有三項：
- 永豐銀行被要求全面清查，了解遭受攻擊的真正根因；民報 11 月 5 日報導寫到，永豐銀行要在 11 月 12 日前完成重大偶發事件的書面報告，11 月 13 日的報導則寫到報告已於 12 日繳交。
- 相關資安資訊分享到 F-ISAC（金融資安資訊分享與分析中心），讓其他銀行及早掌握威脅。
- 張嘉魁表示，初步了解問題出在系統的「中台」，且這套爭議系統目前沒有其他銀行導入。
民報在 11 月 13 日的報導標題寫到「金管會若沒做好盡職調查將開罰」。內文轉述張嘉魁的說法：金管會已訂有委外及供應鏈風險管理法規，以及公會的資訊自律規範，銀行與供應商合作時，要做好廠商盡職調查，並確保沒有惡意程式跟後門程式。截至撰稿時，尚未在金管會官方資料找到針對本案的裁罰決定或相關新聞稿，報導中也沒有提到罰則金額。本案是否開罰，要等金管會後續公告，建議自行前往金管會官方網站查詢最新說明。
民報另外報導，永豐銀行另一起系統當機造成跨行轉帳失靈的事件，金管會已另案處理。
金融機構委外的法規寫了什麼
「盡職調查」不是記者的用語，在法規裡有明文。依全國法規資料庫公布的《金融機構作業委託他人處理內部作業制度及程序辦法》（最新修正日期為民國 115 年 4 月 13 日），第 4 條規定：
- 金融機構對於作業委外「負最終責任」。
- 須進行適當的事前盡職調查與定期審查，確認受委託機構的專業能力與資源、財務狀況、內部控制、資安管理及法規遵循情形。
- 重大委外案件須辨識、評估並管理，並訂定加強控管與緊急應變措施。辦法所稱的「重大性」包括：委外作業有資訊安全疑慮且對業務營運有重大影響，或發生客戶資料安全事件且對金融機構或客戶權益有重大影響等情形。
依第 4 條，金融機構對委外作業負最終責任。這次永豐銀行的盡職調查結果，金管會尚未公布，本文不替結果下判斷。
一般用戶可以做的事
永豐銀行表示受影響款項已全數歸還，以下是站長自己的提醒，不論你是不是永豐客戶都適用：
定期對一下帳
網銀、App 的交易通知簡訊與推播不要關。每週花一分鐘看一下帳戶明細，有看不懂的轉出，立刻聯絡銀行客服。這次事件也是從客戶反映異常扣款開始，銀行才啟動處理。
發現異常先找銀行，再報警
找銀行客服（用卡片背面或官網上的電話），說明時間與金額，請銀行處理。同時可以撥打 165 反詐騙諮詢專線，或到警局報案。
小心趁亂的假客服
收到自稱銀行或客服、要你「配合驗證」「提供驗證碼」或點連結的電話與簡訊，不要在電話或簡訊裡提供密碼與 OTP 驗證碼，先改用官網或卡片背面的電話向銀行確認。過去這類事件的防詐提醒，可參考站內這兩篇：
另外，台積電員工個資被兜售的事件，也可參考台積電員工個資 4.6 萬筆遭兜售：官方怎麼說、員工與家人要防哪些詐騙。
官方資訊以銀行與金管會為準
事件仍在調查中。要確認進度，直接看永豐銀行與金管會的官方公告，不要輕信轉傳訊息。
參考資料與延伸閱讀
- 原新聞：永豐銀系統被駭客入侵 金管會若沒做好盡職調查將開罰（民報，2026-11-13）
- 永豐銀遭盜轉引恐慌 金管會將加強對金融業委外供應鏈管理（民報，2026-11-05）
- 永豐銀新網銀 APP 釀資安危機 還原遭駭時間軸、向系統商求償（中央社，2026-11-04）
- 永豐資安事件：銀行董總二度鞠躬致歉、還原遭駭始末 4176 萬元已全數歸還（優分析）
- 永豐銀行異常轉帳出包 金管會：419 人受影響、總金額約 4 千多萬（自由時報）
- 永豐銀行新聞稿：異常轉帳為供應商安全設定遭駭客利用（永豐銀行，2026-11-04）
- 金融機構作業委託他人處理內部作業制度及程序辦法（全國法規資料庫）
- 金融監督管理委員會
- 永豐銀行
發佈留言