信用卡帳單上那筆小額月費，
沒人說得出是誰在用
為什麼現在很紅：錢是公司付的，帳號卻在個人名下；人一調動，那筆月費就變成一個沒人登得進去、也沒人知道接了什麼的孤兒帳號。
- 一句話結論
- 公司卡上每筆小額訂閱都是一個帳號；用個人信箱註冊、負責人調職之後，就沒人登得進去、也沒人說得出裡面接了什麼。
- 他要的是什麼
- 他不用破解你的主系統。一個沒人記得密碼、沒開兩步驟驗證、卻還授權著公司粉專的個人帳號，就是一條沒人巡的路。
- 你今天做一件事
- 今天就把近 12 個月的訂閱扣款攤成一張表，每一列都要寫上一個人的名字，寫不出來的先標紅。 直接去做 →
- 哪些能信
- 2 可證明2 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是第三方 SaaS 訂閱，不是自家主機）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 財務與管理層：公司卡上的訂閱型扣款沒有對應的負責人與註冊 email。用個人信箱註冊、用公司卡付款、又授權了公司粉專或資料的工具，不在任何盤點範圍內，負責人調職或離職後就成了孤兒帳號
- 馬上自我檢測
匯出近 12 個月公司卡與付款帳單，篩出訂閱型、金額固定的扣款 Google Workspace 管理控制台 → 安全性 → API 控制項 → 第三方應用程式存取權，檢視清單 Microsoft Entra 管理中心 → 企業應用程式 → 權限，檢視清單 把帳單商家與授權清單交叉比對，標出叫不出負責人的項目- 漏洞修補方式
- 把訂閱整理成一張清單，每筆填上負責人（寫人，不寫部門）與註冊 email；沒人認領的給一週期限，過期先取消或降級；報帳要附清單編號，沒登記不核銷；年約續約前 60 天提醒、月繳每季整批檢查
有 15 分鐘再看：其餘 2 點
- 登不進去就取消不了，沒有清單就看不出重複；這類工具常連著粉專、廣告帳號或客戶名單，卻不在任何盤點範圍。
- 不用先買工具：帳單清單、負責人欄位、報帳規則、續約檢查四個流程，財務自己就能啟動；選工具時記得先確認資料能隨時匯出。
每個月對帳都會冒出幾筆十幾、二十幾美元的外幣扣款，問了一圈沒人認領。錢不多，可是一筆訂閱背後就是一個帳號：誰能登入、裡面接了什麼資料，公司一概不知。這篇用帳單、負責人欄位、報帳規則、續約檢查四個流程，把孤兒訂閱找回來。
本篇目錄
一筆每月照扣、卻沒人登得進去的月費
假設有一家三十人的電商公司。行銷同事 A 半年前為了排程社群貼文，用公司卡訂了一套線上工具，用個人 Gmail 註冊，還把公司粉專授權進去。後來 A 調去做客服，工具沒人用了，月費照扣。會計每個月對帳都看到這筆十幾美元的外幣扣款，問了一圈，大家都說「應該是某某部門的吧」。
先說清楚，這是示意情境，不是真實事件，公司、人物與金額都是為了說明而設。等財務終於決定停掉這筆錢，才發現沒人知道帳號是哪個 email、密碼是什麼，A 只隱約記得「好像有接粉專」。要取消得先登得進去，要評估風險得先知道裡面接了什麼。
這篇要講的只有一件事：每一筆訂閱都要對得到一個人。
一筆小錢，背後是三個問題
第一個是負責人斷線。錢是公司付的，帳號卻在個人名下，人一調動或離職，帳號就成了孤兒，連取消都要先想辦法登入。
第二個是資料去向不明。社群排程、問卷、名片這類工具，常常連著粉專、廣告帳號或客戶名單，卻不在任何盤點範圍內；它有沒有開兩步驟驗證、誰還能登入，全看當初註冊的那個人。
第三個是停不掉、也看不出重複。登不進去就沒辦法取消；沒有清單，也看不出別的部門是不是買了同類工具。錢不多，所以沒人追，問題就一直留著。
這筆訂閱背後，有哪些存取權沒人管
這是示意情境，沒有實際外洩；下表列的是孤兒訂閱最常牽著的兩種存取權，讓你知道帳單上那一列背後連著什麼。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| 第三方 SaaS 帳號（社群排程工具） | 帳號密碼（個人 Gmail 註冊，兩步驟驗證狀態不明） | 排程公司粉專貼文 | 存在原註冊者的記憶或個人瀏覽器 | 不在任何公司清單上；只有公司卡帳單留下痕跡 | 該工具內的排程與素材 | 示意情境；負責人調職後無人管理 |
| 社群平台粉專授權（由該工具取得） | OAuth 存取權杖 | 讓工具代為發文、讀取粉專資料 | 存在第三方服務端，公司這邊看不到 | 粉專的已授權應用設定；授權範圍原註冊者也記不清 | 依授權時勾選的權限，可能包含發文與洞察報告 | 示意情境；未撤銷前持續有效，是否還連著無法確認 |
兩列都是「存在，但說不出在誰手上」，這正是孤兒訂閱最麻煩的地方。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方文件與公開公告；情境裡的推斷只能算推論。
不花錢就能做的四個流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是財務和 IT 都能接手的四個流程。
第一步，盤點清單。 匯出近十二個月的公司卡、信用卡和付款帳單，篩出所有訂閱型扣款，整理成一張試算表，就叫它「訂閱對帳簿 B-72」。欄位放：商家名稱、月費或年費、付款卡、負責人、註冊 email、用途、有沒有接公司資料、續約日。
第二步，負責人欄位。 每一筆都要有一個「人」，不是「部門」。找不到負責人的先標紅，給一週認領期限；過期沒人認領的，就先取消或降級，看誰會來找。
第三步，財務對帳。 訂一條規則：用公司卡訂閱 SaaS，報帳時要附上清單編號，沒登記就不核銷。財務每月對帳時，拿新出現的商家跟清單比對，多出來的就去問。這一步財務自己就能做。
第四步，續約檢查。 年約在續約日前 60 天提醒負責人，回答三個問題：還在用嗎？席位數對嗎？有沒有功能重複的工具？月繳的訂閱，每季整批檢查一次。
另外，可以把身分平台內建的第三方應用授權清單拿來和帳單交叉比對：帳單告訴你錢付給誰，授權清單告訴你誰碰過公司資料，兩份都出現的，優先處理。
什麼時候不需要買工具
幾十人以內、訂閱只有一二十筆的公司，試算表加上每月對帳通常就夠了。工具解決的是規模和自動化，不是「沒人負責」；流程沒建立前，買了工具也只是多一個沒人看的儀表板。
真的要看工具，常見有四類（僅舉例，功能以官方說明為準）。身分平台內建功能最先用：Google Workspace 與 Microsoft Entra 的授權清單；微軟另有 Defender for Cloud Apps，靠防火牆或 Proxy 的流量日誌找影子 IT，前提是要有日誌，授權也要另外確認。財務和公司卡平台如 Ramp，官網寫明會自動追蹤付款對象的交易、擷取合約資訊，並在續約前提醒；這類平台多半要先改用它的卡或付款系統，在台灣能不能用要自行確認。開源方案如 Snipe-IT，自架免費，可以記錄軟體授權的席位數、到期日和採購成本，但要人工登錄，不會自動發現訂閱。商用 SaaS 管理平台如 1Password SaaS Manager（官網列出的發現來源包括財務系統、IdP、SSO 和瀏覽器擴充，並說明目前不掃描電子郵件）、Torii（官網寫明可持續發現 SaaS 應用、依使用量回收授權）、Zluri（官網以身分治理平台定位）。
限制也要一起看：自動發現只看得到有串接的範圍，不少功能需要 SSO 或 IdP，導入要設定、也要有人持續維護。供應商本身也有風險，上面 Productiv 和 Torii 的例子就是提醒：新創可能被收購、轉型或停業，選工具時先確認資料能不能隨時匯出。判斷時看四件事：規模（幾十人以內用試算表加流程，上百人、訂閱上百筆再談自動化）、有沒有 SSO、錢從哪裡付（集中在幾張公司卡，財務端追蹤就很有效；付款分散才需要多來源發現）、有沒有人維護與資料可攜性。最後一項比功能多寡更重要。
這篇提到的項目要花多少錢
這篇的方法以人力為主，原文沒有給出訂閱金額或工具牌價，表裡照實標成估算或未公開。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 第一版訂閱清單（帳單篩選＋負責人認領） 估 | 財務或 IT 一人 | 估 半天到一天 | 一次性 | — | — | 本站依四個流程估算 |
| 每月新商家比對 估 | 財務一人 | 估 30 分鐘／月 | 每月 | — | — | 本站估算 |
| 沒人認領的那筆月費 | 示意情境 | 原文僅稱十幾、二十幾美元 | 每月持續扣款 | — | — | 示意情境，無實際帳單 |
| Google Workspace／Microsoft Entra 第三方授權清單 | 既有訂閱內建 | 不另收費 | — | 0.00 | 0 | 官方文件，連結在 sources |
| Snipe-IT 自架版 | 開源 | 軟體免費，主機與維護另計 | — | 0.00 | 0 | Snipe-IT 官網 |
| 商用 SaaS 管理平台／財務平台 | 依人數或交易量 | 本文未查價 | 年約 | — | — | 原文未列價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
一筆小月費真正的成本不是錢，是那個登不進去、也說不出接了什麼的帳號。
你可以學到什麼
站在攻擊者那一側看，孤兒訂閱是很便宜的入口：帳號用個人信箱註冊、密碼可能和別處重複、多半沒開兩步驟驗證，卻授權著公司粉專。拿到它的人可以用公司名義發文，而公司連「這個工具存在」都要等帳單才知道。
- 01公司卡上的每一筆訂閱都是一個帳號，金額小不代表風險小；登不進去就取消不了，也評估不了接了什麼資料。
- 02清單上每一筆都要寫一個人，不是一個部門；沒人認領的訂閱給一週期限，過期就先取消或降級。
- 03報帳附清單編號、沒登記不核銷，是財務自己就能執行、成本最低的攔截點。
- 04年約要在續約前提早檢查還在不在用、席位對不對、有沒有重複工具，月繳的每季整批看一次。
- 05SaaS 管理平台本身也可能停業或被收購，選工具前先確認資料隨時能匯出。
- 01孤兒帳號（Orphaned Account）這篇的主角：錢是公司付的、帳號在個人名下，負責人一走就沒人登得進去。
- 02SaaS 訂閱盤點從帳單出發是最快的盤點路線，因為每一筆付費都留下了商家和金額。
- 03應用負責人（App Owner）每一列要寫人不寫部門，否則盤點完還是沒人負責。
- 04公司卡對帳規則沒登記不核銷，讓新訂閱一出現就被財務攔下來。
- 05續約提醒錯過續約窗口，取消或減量就要再等一個週期。
- 06OAuth 第三方授權工具接粉專或雲端硬碟靠的就是它，訂閱停了授權不一定跟著消失。
- 07Google Workspace 第三方應用程式存取權和帳單交叉比對的第二份清單，看哪些工具碰過公司資料。
- 08使用者同意（User Consent）Entra 裡使用者自行同意的權限要用 Graph API 或 PowerShell 撤銷，入口網站上做不到。
- 09供應商風險（Vendor Risk）管理平台也會停業或被收購，資料能不能匯出要在導入前就問。
- 10資料可攜性停業後資料被銷毀的案例提醒你：清單不能只存在別人的平台上。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 匯出公司卡近 12 個月的扣款，篩出訂閱型、金額固定的項目（唯讀）看到什麼代表什麼：每一筆叫不出負責人的訂閱，就是這篇說的孤兒帳號候選。
- 對每筆訂閱寫下負責人和註冊 email，寫不出來的標紅（不用指令）看到什麼代表什麼：標紅的數量，就是公司目前沒人能登入、也沒人能取消的帳號數。
- Google Workspace 管理控制台 → 安全性 → API 控制項 → 第三方應用程式存取權，檢視清單（唯讀）看到什麼代表什麼：同時出現在帳單和授權清單上的工具，既花錢又碰過公司資料，優先處理。
- Microsoft 365 公司：Entra 管理中心 → 企業應用程式，檢視權限分頁（唯讀）看到什麼代表什麼：看到使用者同意、而且權限包含讀寫檔案或郵件的應用，先記下來。
- 挑一筆標紅的訂閱，翻出它最近一次的扣款通知信寄到哪個信箱（唯讀）看到什麼代表什麼：寄到個人信箱，代表帳號不在公司手上，要先找回登入方式才能處理。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
- Google Workspace：控管哪些第三方應用程式可存取 Workspace 資料
- Microsoft Entra：檢閱並管理企業應用程式的權限
- Microsoft Defender for Cloud Apps：設定 Cloud Discovery
- Ramp：供應商管理功能說明
- Snipe-IT（開源資產管理）
- Snipe-IT 文件：軟體授權管理
- Torii（SaaS 管理平台）
- Freshworks 投資人新聞：宣布簽約收購 Torii
- Zluri（身分治理平台）
- Productiv 官網（停止營運公告）
- Productiv 案件資訊頁（Stretto）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M8 結業盤點 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。