信用卡帳單上那筆小額月費，沒人說得出是誰在用

一筆每月照扣、卻沒人登得進去的月費

假設有一家三十人的電商公司。行銷同事 A 半年前為了排程社群貼文，用公司卡訂了一套線上工具，用個人 Gmail 註冊，還把公司粉專授權進去。後來 A 調去做客服，工具沒人用了，月費照扣。會計每個月對帳都看到這筆十幾美元的外幣扣款，問了一圈，大家都說「應該是某某部門的吧」。

先說清楚，這是示意情境，不是真實事件，公司、人物與金額都是為了說明而設。等財務終於決定停掉這筆錢，才發現沒人知道帳號是哪個 email、密碼是什麼，A 只隱約記得「好像有接粉專」。要取消得先登得進去，要評估風險得先知道裡面接了什麼。

這篇要講的只有一件事：每一筆訂閱都要對得到一個人。

一筆小錢，背後是三個問題

第一個是負責人斷線。錢是公司付的，帳號卻在個人名下，人一調動或離職，帳號就成了孤兒，連取消都要先想辦法登入。

第二個是資料去向不明。社群排程、問卷、名片這類工具，常常連著粉專、廣告帳號或客戶名單，卻不在任何盤點範圍內；它有沒有開兩步驟驗證、誰還能登入，全看當初註冊的那個人。

第三個是停不掉、也看不出重複。登不進去就沒辦法取消；沒有清單，也看不出別的部門是不是買了同類工具。錢不多，所以沒人追，問題就一直留著。

這筆訂閱背後，有哪些存取權沒人管

這是示意情境，沒有實際外洩；下表列的是孤兒訂閱最常牽著的兩種存取權，讓你知道帳單上那一列背後連著什麼。

兩列都是「存在，但說不出在誰手上」，這正是孤兒訂閱最麻煩的地方。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件與公開公告；情境裡的推斷只能算推論。

不花錢就能做的四個流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是財務和 IT 都能接手的四個流程。

第一步，盤點清單。 匯出近十二個月的公司卡、信用卡和付款帳單，篩出所有訂閱型扣款，整理成一張試算表，就叫它「訂閱對帳簿 B-72」。欄位放：商家名稱、月費或年費、付款卡、負責人、註冊 email、用途、有沒有接公司資料、續約日。

第二步，負責人欄位。 每一筆都要有一個「人」，不是「部門」。找不到負責人的先標紅，給一週認領期限；過期沒人認領的，就先取消或降級，看誰會來找。

第三步，財務對帳。 訂一條規則：用公司卡訂閱 SaaS，報帳時要附上清單編號，沒登記就不核銷。財務每月對帳時，拿新出現的商家跟清單比對，多出來的就去問。這一步財務自己就能做。

第四步，續約檢查。 年約在續約日前 60 天提醒負責人，回答三個問題：還在用嗎？席位數對嗎？有沒有功能重複的工具？月繳的訂閱，每季整批檢查一次。

另外，可以把身分平台內建的第三方應用授權清單拿來和帳單交叉比對：帳單告訴你錢付給誰，授權清單告訴你誰碰過公司資料，兩份都出現的，優先處理。

什麼時候不需要買工具

幾十人以內、訂閱只有一二十筆的公司，試算表加上每月對帳通常就夠了。工具解決的是規模和自動化，不是「沒人負責」；流程沒建立前，買了工具也只是多一個沒人看的儀表板。

真的要看工具，常見有四類（僅舉例，功能以官方說明為準）。身分平台內建功能最先用：Google Workspace 與 Microsoft Entra 的授權清單；微軟另有 Defender for Cloud Apps，靠防火牆或 Proxy 的流量日誌找影子 IT，前提是要有日誌，授權也要另外確認。財務和公司卡平台如 Ramp，官網寫明會自動追蹤付款對象的交易、擷取合約資訊，並在續約前提醒；這類平台多半要先改用它的卡或付款系統，在台灣能不能用要自行確認。開源方案如 Snipe-IT，自架免費，可以記錄軟體授權的席位數、到期日和採購成本，但要人工登錄，不會自動發現訂閱。商用 SaaS 管理平台如 1Password SaaS Manager（官網列出的發現來源包括財務系統、IdP、SSO 和瀏覽器擴充，並說明目前不掃描電子郵件）、Torii（官網寫明可持續發現 SaaS 應用、依使用量回收授權）、Zluri（官網以身分治理平台定位）。

限制也要一起看：自動發現只看得到有串接的範圍，不少功能需要 SSO 或 IdP，導入要設定、也要有人持續維護。供應商本身也有風險，上面 Productiv 和 Torii 的例子就是提醒：新創可能被收購、轉型或停業，選工具時先確認資料能不能隨時匯出。判斷時看四件事：規模（幾十人以內用試算表加流程，上百人、訂閱上百筆再談自動化）、有沒有 SSO、錢從哪裡付（集中在幾張公司卡，財務端追蹤就很有效；付款分散才需要多來源發現）、有沒有人維護與資料可攜性。最後一項比功能多寡更重要。

這篇提到的項目要花多少錢

這篇的方法以人力為主，原文沒有給出訂閱金額或工具牌價，表裡照實標成估算或未公開。

一筆小月費真正的成本不是錢，是那個登不進去、也說不出接了什麼的帳號。

你可以學到什麼

站在攻擊者那一側看，孤兒訂閱是很便宜的入口：帳號用個人信箱註冊、密碼可能和別處重複、多半沒開兩步驟驗證，卻授權著公司粉專。拿到它的人可以用公司名義發文，而公司連「這個工具存在」都要等帳單才知道。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。