資安事件整理 ／ 資料更新至 2026 年 11 月 5 日
11 月 3 日，永豐銀行客戶發現帳戶被轉走款項。銀行當天說是「程式異常」，隔天改口：這是外部駭客利用新網銀交易系統的供應商安全設定造成的資安事件，董事長和總經理也出面鞠躬道歉。
這篇依永豐銀官方公告、11 月 4 日記者會與後續報導，整理事件的完整經過。銀行回答了什麼、還有什麼沒回答，都分開寫清楚，最後列出存戶可以做的事。
本文更新說明
本文 11 月 3 日首次發布時，原因只有銀行「程式異常」的說法，統計也是金管會的初步數字。11 月 5 日依銀行新公告改寫：原因改為銀行公布的說法，數字改為 418 人、427 筆、4,176 萬元，並補上時間軸與官方連結。
30 秒看重點
外部駭客
銀行稱駭客利用新網銀交易系統的供應商安全設定。
4,176 萬元
銀行公布 418 人、427 筆，多數每筆 10 萬元。
14:51
銀行稱 11 月 3 日下午已把款項全數還給客戶。
無個資外洩軌跡
這是銀行依目前事證的說法，盤點仍在進行。
11 月 12 日
完整報告交給金管會的期限，是否開罰尚未決定。
資料：永豐銀公告與記者會、金管會說明，詳見文末資料來源。
永豐銀官方公告
想看原文，可以直接到永豐銀官網：
01一天之內，官方說法從程式異常變成遭駭
| 項目 | 11 月 3 日聲明 | 11 月 4 日公告與記者會 |
|---|---|---|
| 原因 | 新網銀交易系統程式異常 | 外部駭客利用該系統的供應商安全設定 |
| 規模 | 聲明未提；金管會初步統計 419 人、427 筆 | 418 人、427 筆、4,176 萬元 |
| 個資 | 未提 | 依目前事證無外洩軌跡，已啟動盤點 |
| 責任 | 款項含手續費已返還 | 致歉，對客戶權益負全部責任，將向供應商求償 |
資料：永豐銀 2026 年 11 月 3 日、4 日公告，以及 11 月 4 日記者會報導。
看數據，先看定義
419 人是金管會 11 月 3 日公布的初步統計，418 人是總經理莊銘福 11 月 4 日說明的數字，兩邊的筆數都是 427 筆。目前查到的報導沒有說明差 1 人的原因，部分報導至今仍寫 419 人。
0211 月 3 日的完整時間軸
09:29
客服開始接到客戶反映，半小時內約有 10 人來電。
10:00
銀行啟動內部處理程序。
10:30
通知台北富邦銀行，收款帳戶隨即凍結。
10:48
165 反詐騙專線接獲首件報案；到 12:16 累計 68 件。
12:00
銀行開會，認定為重大偶發事件，決定先把款項還給客戶，並找外部團隊調查。
12:50
電話通報金管會銀行局，晚間再交初步書面報告。
13:47
掌握原因，下架新網銀 App，銀行稱之後沒有再看到同類攻擊。
14:51
款項全數返還客戶。
下午到傍晚
銀行發布程式異常聲明；金管會在例行記者會公布初步統計。
※ 銀行端的時間點來自 11 月 4 日記者會說明。駭客確切從何時開始動作，銀行沒有公布。
11 月 4 日的進度：刑事局上午報請台北地檢署指揮，檢方分他字案，朝妨害電腦使用罪偵辦。傍晚銀行發布新公告並舉行記者會。
03銀行回答了三個問題
為什麼都是身分證 P 開頭？
銀行稱駭客以特定手法隨機試誤，取得首碼相同的有效帳戶，不是事先拿到客戶個資。
收款帳戶是人頭帳戶嗎？
莊銘福稱對方是無辜的一般民眾，不是人頭帳戶。警方初步清查也未發現持有人涉案，但還會再請對方說明，還不算定案。
10 月就有客戶被轉帳，是同一件事嗎？
社群上有人這樣質疑。莊銘福稱銀行分析過往客訴，確認是不同事件，但沒有公布分析內容，外界無法獨立判斷。
銀行也列出後續措施：阻斷這個手法並加強驗證、落實零信任機制、強化異常交易監控（短時間大量查詢或異常交易會即時預警攔阻）、請第三方資安團隊進駐、全面檢查系統，並透過 F-ISAC 與金融同業分享威脅情資。
04還沒有答案的五個問題
銀行以案件進入司法程序為由，沒有說明多數技術細節。下面這幾點，要等 11 月 12 日的報告或檢警調查，而且報告不一定會公開：
駭客怎麼通過驗證？
莊銘福被問到時拒答。「供應商安全設定」具體是哪個設定，銀行也沒有說明。
為什麼能轉到 10 萬元？
Business Insider 指出，依永豐官網說明，一般帳戶以生物辨識做非約定轉帳，每筆上限 5 萬元、每日 10 萬元。多數異常交易卻是單筆 10 萬元，銀行未說明原因。
臉部辨識紀錄怎麼來的？
受害者稱沒開 App，紀錄卻顯示臉部掃描確認，銀行沒有公開技術解釋。動區動趨的文章認為，這類紀錄不一定能證明真的有人刷臉，但這是作者的推論。
供應商是誰，導入時出了什麼事？
銀行只說是國外知名廠商，沒有公布名稱。莊銘福提到導入時須與廠商完整交接，這次「有些例外」，但未說明例外內容。
其他業者會受影響嗎？
銀行公告稱台灣尚無其他金融業導入這套系統；中央社則寫「據了解」有 5 家業者使用。兩者的範圍可能不同，目前沒有官方釐清。
要記得
銀行公告用的是「供應商安全設定」，部分媒體寫成「供應商程式原生瑕疵」，兩個詞的責任意涵不太一樣：前者聽起來像設定問題，後者像程式本身的缺陷。目前沒有看到銀行解釋兩者差異，本文以官網公告的用語為準。
外界的推測（都還沒有證實）
- 一位未具名的大型銀行資安高層告訴聯合報，供應商程式可能有身分驗證缺陷或交易授權繞過機制，攻擊者可能經由原本開放的交易 API 進入，不一定要入侵內網。
- 台灣數位安全發展協會理事長劉彥伯對公視表示，這較不像一般犯罪，可能是駭客或自動化程式測試造成的意外。
- 警方推測，若確認為駭侵，駭客可能先小額測試，成功後才大規模轉帳。
主管機關方面，金管會表示是否開罰要看事件輕重與原因，目前查到的報導尚未看到裁罰決定。金管會副主委莊琇媛則提醒，資安風險未必來自核心系統的正面攻擊，也要留意內部系統是否異常。
05如果你是永豐銀客戶，現在可以做這五件事
以下整理自永豐銀防詐公告與一般自保原則，實際操作請以銀行公告和客服說明為準。
查交易明細
確認有沒有不明轉出。新版 App 已下架，目前查到的報導沒有提到恢復時間，可改用舊版 App 或 ATM。
確認款項與手續費都退回
沒看到就主動聯絡銀行（官網列的客服電話 02-2505-9999），並保留通知與明細截圖。
提防假客服、假退款
永豐銀公告表示，銀行不會以電話、簡訊、Email 或社群索取網銀密碼或 OTP。要查證就自己撥官方電話或 165。
開啟交易通知
這次有客戶是靠通知才第一時間發現。確認通知有開、聯絡方式是最新的。
懷疑遭冒用就立刻處理
依永豐銀防詐公告：撥 165 並儘速報警、變更網銀代碼或密碼、停用帳戶的自動化交易權限。
這些步驟的限制
依銀行說法，這次問題出在系統端，不是客戶操作不當，所以個人設定不一定能防止同類事件。這些步驟的目的是讓你更快發現異常、避免二次受騙。
06給企業的三個提醒：外包系統，責任還在自己身上
以下是 TempEDU 的觀察，不代表本案的調查結果。銀行公開的說法是問題來自供應商，但對客戶負全部責任的仍是銀行。有導入外部系統、會員系統或金流的企業，都可以問自己三個問題：
上線前誰驗收設定？
廠商預設值和測試設定，有沒有人逐項確認？資安驗收和交接紀錄寫進合約了嗎？
異常會自動被擋嗎？
短時間大量查詢、同金額流向同一帳戶，系統會攔阻，還是要等客戶打電話？
第一份聲明怎麼寫？
原因未明時，能不能分清已知和未知？之後說法改變，會不會失去信任？
本文重點
- 永豐銀 11 月 4 日公告，原因是外部駭客利用新網銀交易系統的供應商安全設定，不再只說程式異常。
- 銀行公布 418 人、427 筆、4,176 萬元，稱款項已在 11 月 3 日全數返還。
- 銀行稱 P 開頭是隨機試誤的結果，依目前事證無個資外洩軌跡，盤點仍在進行。
- 駭客如何通過驗證、為何能轉到 10 萬元、供應商是誰，銀行都還沒有公開說明。
- 檢方已分案偵辦，銀行須在 11 月 12 日前交報告，是否開罰尚未決定。
想一想
如果你的公司把重要系統交給外部廠商，出事時客戶會找誰？你現在手上有哪些紀錄，能證明上線前檢查過什麼？
資料來源
- 永豐銀行（2026/11/4）。異常轉帳為供應商安全設定遭駭客利用資安事件
- 永豐銀行（2026/11/3）。永豐銀行聲明：帳戶款項已全數返還
- 永豐銀行。慎防新型詐騙，請留意假冒瀏覽器或驗證頁面
- 中央社（2026/11/4）。永豐銀新網銀APP釀資安危機 還原遭駭時間軸、向系統商求償
- 風傳媒（2026/11/4）。異常轉帳案》永豐銀董總鞠躬道歉
- Business Insider Taiwan（2026/11/4）。永豐銀認了遭駭！董總鞠躬道歉
- ETtoday（2026/11/4）。永豐銀記者會相關報導
- TVBS（2026/11/4）。永豐銀「新網銀交易系統」427筆異常盜轉案 北檢分案偵辦
- 聯合報（2026/11/4）。警方對收款帳戶的初步清查
- 聯合報（2026/11/4）。資安人士對攻擊路徑的分析
- 公視新聞（2026/11/4）。逾400客戶存款遭盜轉 永豐銀董座致歉認遭駭
- 動區動趨（2026/11/3）。永豐銀臉部辨識轉帳的未解問題
- 鉅亨網（2026/11/3）。金管會：永豐網銀異常盜轉4000多萬元、419人受害 11/12前須交報告
- 風傳媒（2026/11/3）。永豐銀App遭盜轉4千萬 金管會證實419人受影響
本文封面為 AI 生成的示意圖。本文依 2026 年 11 月 5 日可查得的公開資訊整理，後續調查結果請以官方公布為準。
Edit with Tr.Bug
Follow me on：LinkedIn ｜ 探教育TempEDU
