永豐銀行資安事件懶人包：異常轉帳怎麼發生？企業該檢查哪些委外系統
永豐銀行資安事件是指 2026 年 11 月 3 日，永豐銀行客戶帳戶遭異常轉帳，銀行次日證實是外部駭客利用「新網銀交易系統」的供應商安全設定所致。依銀行說明，共 418 名客戶、427 筆、新臺幣 4,176 萬元，款項已全數返還。攻擊手法與根本原因仍在調查，金管會要求最晚 11 月 12 日前提出報告。
對一般存戶來說，錢已經退回；對企業來說，這起事件更值得看的是「買來的系統，安全設定由誰負責」。下面分開整理已確認與未確認的內容，並列出可以直接拿去檢查的清單。想盤點自家系統與委外的風險，可以參考我們的 資安健診服務。
資訊截至 2026 年 11 月 6 日。本文主要依永豐金重大訊息與媒體報導的記者會內容整理，會隨永豐銀與金管會後續說明更新。
永豐銀行資安事件經過：時間軸
從客戶反映到新版 App 下架，當天約 4 個多小時。以下 11 月 3 日的時間，依風傳媒整理的永豐銀記者會說明：
| 時間 | 經過 |
|---|---|
| 7 月 22 日 | 新版行動銀行 App 上架，與舊版並存 |
| 11 月 3 日約 9:29 | 客服陸續接到客戶反映帳戶被轉出款項 |
| 10:00 | 啟動內部應變程序 |
| 約 10:30 | 通知台北富邦銀行凍結收款帳戶 |
| 12:00 | 內部認定為重大偶發事件 |
| 12:50 | 通報金管會銀行局 |
| 13:47 | 掌握原因，下架新版 App，之後未再出現相關攻擊 |
| 當日下午 | 款項含手續費全數返還客戶；永豐金發布重大訊息，當時說明為「程式異常」 |
| 11 月 4 日 | 召開記者會致歉，改稱確認為外部駭客利用供應商安全設定 |
| 11 月 5 日 | 金管會表示已請董事長與總經理說明，將追查委外管理與內控 |
台北地檢署也已分案偵辦。受影響人數有兩種版本：金管會 11 月 3 日初步統計為 419 人，銀行 11 月 4 日記者會為 418 人，本文採後者。
哪些事已確認，哪些還不知道？
目前能確認的是規模、款項處理與銀行對原因的初步說法；真正對企業最有參考價值的攻擊手法，官方尚未公布。引用這起事件時，要留意兩者的差別。
| 項目 | 目前狀態 | 說法來源 |
|---|---|---|
| 規模與款項 | 418 人、427 筆、4,176 萬元，全數匯入同一帳戶，已返還 | 永豐銀、金管會 |
| 問題系統 | 新網銀交易系統，銀行稱台灣尚無其他金融業導入 | 永豐銀、金管會轉述 |
| 原因 | 外部駭客利用供應商安全設定 | 永豐銀，待調查報告確認 |
| 個資 | 銀行稱未發現外洩跡象，已啟動盤點 | 永豐銀 |
| 攻擊手法 | 未公布，檢調偵辦中 | — |
| 供應商名稱 | 銀行未公布 | — |
| 內控有無缺失、是否裁罰 | 待金管會依報告決定 | 金管會 |
媒體另有供應商名稱與程式瑕疵的報導，銀行並未證實，本文不採用。
為什麼沒登入也能轉帳？目前能怎麼解讀
官方沒有公布手法，這裡只能談公開事實透露的方向。金管會表示，客戶未登入 App、也未經簡訊驗證或臉部辨識，款項卻遭轉出，銀行說明涉及交易系統設定問題。
另一個線索是受影響客戶的身分證字號都是 P 開頭。永豐銀解釋，這是駭客以特定手法隨機嘗試，取得首碼相同的有效帳戶，並非事先取得個資。
我們的看法是，如果這些說明成立，值得企業自問兩件事：交易是否每一筆都在伺服器端重新驗證身分與授權，以及系統能不能發現有人在大量嘗試帳號。這是一般性的檢查方向，不代表本案的實際成因。
永豐銀總經理在記者會上提到，系統導入時測試、環境與設定都要和廠商完美交接。這句話正好點出 供應鏈攻擊 以外常被忽略的風險：不一定要有人入侵廠商，一項沒被檢視到的設定，也可能成為破口。
主管機關要查什麼？委外管理與內控
金管會已要求永豐銀 11 月 12 日前提出完整報告，釐清委外管理與內控程序是否落實，有缺失才依規定處理。金融資安資訊分享與分析中心（F-ISAC）也會就本案做關聯分析。
《金融機構作業委託他人處理內部作業制度及程序辦法》（民國 115 年 4 月 13 日修正）適用於銀行等金融機構，是理解這類案件的重要依據。依第 7 條，因受託機構的故意或過失使客戶權益受損時，金融機構仍應對客戶依法負同一責任；第 8 條要求對具重大性的委外事項，依風險情境定期或不定期測試或演練，並訂定緊急應變計畫；第 10 條要求契約載明受託機構若有重大異常應立即通知。
本案是否適用這些條文，要看金管會的認定，但方向很清楚：供應商出問題，對客戶負責的仍是銀行。永豐銀當天先代墊返還、之後再向供應商求償，就是這個順序。
銀行局副局長王允中也提到，依規定重大資安事件須在半小時內通報金管會；本案通報時點是否符合規定，目前沒有公開結論。一般企業的通報規定可以參考 資安事件通報 的整理。
對企業的影響：委外交易系統該檢查什麼？
任何把交易、會員或付款流程交給廠商系統的企業，都可以用這起事件檢查自己，不限金融業。下表是實務上的自查起點，不是法定清單，也不代表本案成因：
| 檢查項目 | 要確認什麼 |
|---|---|
| 安全設定交接 | 廠商預設值與設定是否逐項檢視，誰簽核，有沒有紀錄 |
| 伺服器端授權 | 每筆交易都在伺服器端驗證身分、權限與額度，不靠 App 端判斷 |
| 帳號枚舉與批次嘗試 | 能否偵測並限制短時間大量查詢或試誤 |
| 新舊系統差異 | 額度與約定帳戶規則是否沿用，舊介面是否仍開放並一併測試 |
| 異常交易監控 | 多個帳戶短時間轉入同一帳戶，能否即時告警與阻斷 |
| 緊急停用機制 | 誰有權下架服務、多久能完成、舊流程能否接手 |
| 契約 | 重大異常通知、稽核權、責任與賠償是否寫清楚 |
新系統上線前的安全驗證最值得優先安排。實務上可以委外做一次針對交易流程的 滲透測試服務，並把上述項目列入驗收條件。如果最近也在評估其他供應商風險，電商資安事件 整理了郵件服務、ERP 與 API 金鑰這類破口，可以一起參考。
如果公司沒有自建交易系統，只使用通用 SaaS，就不必做到這麼細，先確認帳號權限、通知機制與資料備份即可。
永豐銀行資安事件之後，這週先查哪三件事？
第一，列出對外提供交易或會員服務的委外系統，標出最近一年新上線的項目。第二，確認這些系統的安全設定有人簽核，能拿得出紀錄。第三，演練一次「緊急下架」：誰決定、多久做到、客戶怎麼被通知。
若想請第三方確認現況，可以了解我們的 企業資安健檢 內容，或 直接與顧問聊聊貴公司的狀況。
永豐銀行資安事件常見問題
永豐銀客戶的錢會不見嗎？
依永豐銀與金管會的說明，受影響客戶的款項含手續費已於 11 月 3 日全數返還，銀行也表示負起全部責任。客戶仍應檢查交易明細，並小心假冒銀行的退款或帳戶異常訊息，不要在信件或簡訊連結中輸入密碼。
永豐銀個資有外洩嗎？
永豐銀表示依目前事證尚未發現個資外洩跡象，受影響客戶身分證字號都是 P 開頭，是駭客隨機嘗試的結果，並非事先取得個資；銀行已啟動資安及個資盤點。這仍是銀行的初步說法，最後結論要看調查報告。
其他銀行會受影響嗎？
依永豐銀與金管會轉述，這套交易系統台灣目前沒有其他金融機構導入，金管會也表示未接獲其他銀行通報同類事件。永豐銀已透過 F-ISAC 分享威脅情資。不過其他銀行與企業仍可依相同方向，檢查自己的交易系統設定。
參考資料
- 永豐金控代子公司永豐銀行說明媒體報導 – 公開資訊觀測站重大訊息全文。MoneyDJ 轉載 · 2026 年 11 月 3 日
- 永豐銀行異常轉帳確認為駭客攻擊，供應商安全設定漏洞遭利用 – 記者會說明、處置與 P 開頭身分證說明。iThome · 2026 年 11 月 4 日
- 永豐銀遭駭案延燒！金管會找董總說明 查內控缺失 – 金管會說明與 11 月 12 日期限。經濟日報 · 2026 年 11 月 5 日
- 沒登入 APP 錢卻飛了！永豐銀 419 人遭轉走逾 4,000 萬元 – 金管會首日說明與半小時通報規定。經濟日報 · 2026 年 11 月 3 日
- 永豐銀遭駭懶人包 – 記者會時間軸與數字。風傳媒
- 金融機構作業委託他人處理內部作業制度及程序辦法 – 第 7、8、10 條。全國法規資料庫 · 民國 115 年 4 月 13 日修正
