永豐銀行 427 筆異常轉帳事件：
供應商系統瑕疵、駭客試誤、單筆轉出最高 10 萬元

發生了什麼

來源：本文整理自中央社、數位時代、遠見、聯合新聞網於 2026 年 11 月 4 日發布的報導,以及永豐銀行於 11 月 3 日發布的官網聲明。永豐銀行董事長曹為實與總經理莊銘福於 11 月 4 日晚間召開記者會說明事件始末。截至 11 月 4 日，未找到金管會官網新聞稿或公開資訊觀測站重大訊息可引用。

想像你早上起床，發現銀行帳戶裡的 10 萬元不見了。你沒有登入過網銀 App。這不是個案，而是 2026 年 11 月 3 日上午，418 名永豐銀行客戶共同經歷的資安事件。

永豐銀行於 11 月 3 日上午 9 時 29 分起陸續接獲客戶反映帳戶遭異常轉帳。經調查後確認，這是外部駭客利用新網銀交易系統的供應商安全設定漏洞發動的攻擊。

但聯合報於 11 月 4 日 17 時 25 分的報導使用不同說法：

「供應商安全設定」是永豐銀行官方說法；「供應商程式原生瑕疵」是聯合新聞網據其掌握的案情報導的說法。兩者描述的嚴重程度不同：「安全設定」可能是配置問題，「原生瑕疵」則指程式本身的設計缺陷。

受影響規模

受影響客戶特徵

聯合報報導則寫「P1」：

多數報導與永豐官方說法皆為「P 開頭」，僅聯合報提及「P1」。目前無法確認是否僅限 P1，或是所有 P 開頭身分證字號皆受影響。

事件時間軸

莊銘福說明，上午 9 時 29 分左右，客服陸續接獲客戶反應後，於 10 時啟動內部所有程序。從接獲通報到完成款項返還，永豐銀行用了約 5 小時 22 分鐘。

駭客如何攻擊

隨機試誤取得有效帳戶

駭客並非事先取得客戶個資，而是用隨機試誤（trial and error）的方式，針對身分證字號 P 開頭的客戶測試帳戶有效性。

繞過身分驗證與轉帳限額

這是本案最大的疑點：駭客如何在客戶未登入 App 的情況下，繞過身分驗證，並且轉出超過非約定轉帳限額的金額？

永豐銀行以「案件進入司法程序」為由，未公開駭客如何繞過驗證與限額的細節。目前僅知道駭客利用供應商系統的漏洞，但具體攻擊手法仍未公開。

第三方系統的風險

國外知名廠商，台灣唯一？

但中央社報導有不同說法：

兩種說法矛盾：

• 永豐銀行：「台灣尚無其他金融業導入」
• 中央社：「據了解，目前在台灣有5家業者使用該系統」

中央社未說明「5 家業者」是否包括金融業以外的其他產業，或是指金融業內的其他銀行。目前無法確認台灣是否有其他金融機構使用同一套系統。

供應商名稱未公開

永豐銀行未公開供應商名稱、所在國家，以及該系統的產品名稱。

將向供應商求償

莊銘福坦言：「每次導入系統時都必須與供應商完美無缺交接，這次事件是有些例外。」

沒有個資外洩？

永豐銀行強調，駭客是用「隨機試誤」取得有效帳戶，並非事先取得客戶個資。但駭客如何在沒有個資的情況下，完成身分驗證並發起轉帳，仍是未解之謎。

永豐銀行的應對措施

當日完成款項返還

永豐銀行決定先行返還客戶款項，不論責任歸屬。中央社報導引述莊銘福：「銀行內部也定調保障客戶權益最優先。」

下架新版網銀 App

引進第三方資安團隊

透過 F-ISAC 分享資安威脅情資

F-ISAC（Financial Information Sharing and Analysis Center）是台灣金融業資安情資分享平台。

董事長與總經理鞠躬道歉

作者分析：第三方系統的責任界線

供應商責任 vs. 銀行責任

這次事件的核心爭議是：第三方系統的資安漏洞，責任應該如何分配？

永豐銀行認為，這是供應商系統的問題，銀行是受害者，因此將向供應商求償。但從資安管理的角度，銀行導入第三方系統時，是否已進行充分的安全測試與驗證？

翁浩正指出：「我的供應商有多不安全，我就有多不安全。」供應鏈各環節共同承擔資安風險。

「較新的技術」的風險

永豐銀行強調該系統「涉及比較新的技術」，但新技術也意味著較少的實戰經驗與安全驗證。

非約定轉帳限額為何失效

一般銀行的非約定轉帳限額設計，目的就是限制單筆大額轉帳的風險。即使帳號密碼被盜，駭客也只能轉出有限金額。

但這次事件中，多數異常交易達到單筆 10 萬元，超過永豐銀行官網公告的「非約定轉帳單筆上限 5 萬元」。

作者推測（尚待證實），可能的情境：

1. 駭客繞過了限額檢查機制：供應商系統的漏洞允許駭客直接修改轉帳金額或繞過限額驗證
2. 駭客發起了兩筆轉帳：雖然單筆限額 5 萬元，但單日限額 10 萬元，駭客可能在短時間內發起兩筆 5 萬元轉帳
3. 某些帳戶的限額設定較高：不同帳戶類型可能有不同的限額設定

目前永豐銀行未公開細節，無法確認駭客如何超過單筆上限。

客戶未登入 App，為何仍遭轉帳

作者推測（尚待證實），這代表駭客攻擊的是銀行後端系統，而非客戶端 App。駭客可能：

1. 直接攻擊後端 API，繞過 App 的身分驗證機制
2. 利用系統漏洞偽造有效的 API 請求
3. 透過供應商系統的漏洞，直接存取銀行核心系統

這比傳統的釣魚或木馬攻擊更嚴重，因為客戶端完全沒有防禦機會。

其他銀行是否受影響

永豐銀行與中央社對「台灣其他業者是否使用同一系統」的說法不一致。如果真的有其他業者使用同一系統，他們是否也面臨相同風險？

永豐銀行透過 F-ISAC 分享資安威脅情資，這是正確的做法。但其他業者是否已檢查自家系統，或暫停相關服務，目前未有公開報導。

你可以學到什麼

站在攻擊者的角度：攻擊者先用隨機試誤的方式，針對身分證字號 P 開頭的客戶測試帳戶有效性。一旦找到有效帳戶，利用新網銀交易系統供應商安全設定的漏洞，在客戶未登入 App 的情況下發起轉帳。多數交易單筆 10 萬元，超過永豐官網公告的非約定轉帳單筆 5 萬元上限，手法未公開。

lessons本案的 7 個教訓

1. 01
   第三方系統的漏洞就是你的漏洞：銀行導入供應商系統時，必須將供應商納入稽核、檢測及攻防演練，不能將資安責任一併外包。
2. 02
   新技術也意味著新風險：「較新的技術」代表較少的實戰經驗與安全驗證，導入前應進行更嚴格的測試。
3. 03
   後端系統可能被攻破（作者推測，尚待證實）：客戶未登入 App 仍遭轉帳，可能代表駭客攻擊的是後端系統，客戶端無從防禦。
4. 04
   非約定轉帳單筆上限為何未攔阻，尚未公開：多數交易單筆 10 萬元，超過永豐官網公告的單筆 5 萬元上限，如何做到仍是疑點。
5. 05
   隨機試誤仍然有效：即使沒有事先取得客戶個資，駭客仍可透過隨機試誤取得有效帳戶。
6. 06
   快速應變很重要：永豐銀行從接獲通報到完成款項返還用了約 5 小時，並在當日下架系統，算是快速應變。
7. 07
   透明度與責任承擔：永豐銀行董事長與總經理親自鞠躬道歉，並決定先行返還款項，展現對客戶權益的重視。但以「司法程序」為由不公開攻擊細節，可能讓其他潛在受害者無從防範。

keywords重點學習：最需要學習的 10 個關鍵字7 個

1. 01
   供應商安全設定

   永豐銀行官方說法，駭客利用新網銀交易系統供應商的安全設定漏洞發動攻擊。
2. 02
   供應商程式原生瑕疵

   聯合新聞網據其掌握案情報導的說法，指程式本身的設計缺陷，與「安全設定」描述的嚴重程度不同。
3. 03
   隨機試誤

   駭客針對身分證字號 P 開頭的客戶進行隨機試誤，取得有效帳戶，並非事先掌握客戶個資。
4. 04
   非約定轉帳單筆上限

   永豐官網公告單筆 5 萬元上限，但這次多數異常交易達單筆 10 萬元，為何未攔阻尚未公開。
5. 05
   第三方系統風險

   銀行導入第三方系統時，供應商的資安漏洞會成為銀行的漏洞，責任界線成為爭議焦點。
6. 06
   F-ISAC

   金融資安資訊分享與分析中心，台灣金融業資安情資分享平台，永豐已透過此平台分享威脅情資。
7. 07
   後端系統攻擊（推測）

   客戶未登入 App 仍遭轉帳，可能代表駭客攻擊的是後端系統，客戶端無從防禦，但細節未公開。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

1. 檢查銀行帳戶近期交易明細
   看到什麼代表什麼：確認是否有非本人操作的轉帳或異常交易，特別是 11 月 3 日當天。
2. 確認手機是否已開啟銀行 App 的交易通知
   看到什麼代表什麼：開啟即時交易通知，第一時間發現異常。
3. 檢視銀行 App 的登入裝置清單
   看到什麼代表什麼：移除不認識的裝置，確認只有自己的裝置有存取權限。
4. 確認非約定轉帳額度設定
   看到什麼代表什麼：考慮將單筆與單日額度調降至實際需求範圍，降低被盜轉的潛在損失。
5. 檢查其他銀行帳戶
   看到什麼代表什麼：若使用多家銀行服務，也應逐一檢查其他銀行帳戶是否有異常。
6. 關注銀行的安全通報
   看到什麼代表什麼：定期檢視銀行官網的資安公告與系統更新通知。

如果你是永豐銀行客戶

1. 檢查帳戶交易明細：確認 11 月 3 日及近期是否有非本人操作的轉帳
2. 開啟交易通知：確認手機已開啟即時交易通知功能
3. 調整轉帳額度：考慮將非約定轉帳額度調降至實際需求範圍
4. 如有疑問聯繫銀行：若發現任何異常，立即聯繫永豐銀行客服

如果你是其他銀行客戶

1. 檢查帳戶交易明細：確認近期是否有異常交易
2. 開啟交易通知：確保能第一時間發現異常
3. 檢視登入裝置：移除不認識的裝置
4. 關注銀行公告：如果你的銀行也使用第三方交易系統，關注銀行是否有發布安全通報

如果你是金融機構

1. 檢查第三方系統：如果使用相同或類似的第三方交易系統，立即進行安全檢查
2. 查看 F-ISAC 情資：透過 F-ISAC 取得永豐銀行分享的威脅情資
3. 加強異常交易監控：檢視短時間內大量查詢或異常交易的監控機制
4. 檢視供應商合約：確認資安事件的責任歸屬、通報期限、處理方式是否明確

這次事件提醒我們：銀行的資安防線不只在自己手上，也在供應商手上。當供應商出問題,銀行與客戶都會受影響。快速應變、透明溝通、保障客戶權益，是資安事件發生後最重要的三件事。

來源

• 中央社專題：永豐銀行帳戶遭盜轉
• 數位時代報導（2026-11-04）
• 遠見報導（2026-11-04）
• 聯合新聞網報導（2026-11-04 17:25）
• 永豐銀行聲明：帳戶款項已全數返還（2026-11-03）

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

複製提示詞允許 AI 直接修正（每項修改前仍會先問我）先看內容

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

延伸閱讀

• 第一份重訊說「無重大影響」，第二份補上了玩家個資外洩每日拆解 · 2026-10-08

newsletter

下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

訂閱

先寄一封確認信，按了才算訂閱；每封信都有一鍵退訂。