金融監督管理委員會於2026年11月5日證實，已要求永豐銀行（Bank SinoPac）高層前往說明網路銀行異常轉帳事件，並指令銀行必須在7個營業日內提送完整資安調查報告與改善措施。
這起國內首例針對新網銀交易系統的集體盜轉案發生於2026年11月3日上午9時29分。多位民眾在未登入網銀應用程式（APP）、未收到雙重身分驗證簡訊的情況下，帳戶資金遭自動轉出至台北富邦銀行同一帳戶。永豐銀行統計受影響客戶共418人、交易427筆，累計轉出金額達新台幣4,176萬元。永豐銀行已於事發當日下架該系統，並預先墊款將受影響資金全數退回客戶帳戶。
供應商安全設定成破口 駭客隨機測試撞中帳戶
永豐銀行董事長曹為實與總經理莊銘福於2026年11月4日晚間召開記者會，親自鞠躬向受害客戶致歉。永豐銀行說明，調查顯示外部駭客係利用新網銀交易系統供應商的安全設定瑕疵，跳過驗證機制執行轉帳交易。該套系統係引進國外軟體開發商產品，目前在台灣金融業中僅有永豐銀行採用。
針對受害者身分證字號首碼皆為代表雲林縣「P」字頭的疑慮，永豐銀行澄清，駭客並非事先竊取特定客戶個資，而是利用程式進行多組字號隨機試誤（Brute-force testing），進而撞中有效帳戶發動攻擊。目前系統安全檢測顯示無個資外洩軌跡，銀行將向該國外系統供應商提出法律訴訟與求償。
避開雙重驗證與限額 檢調立案偵辦妨害電腦使用罪
本案引發國內資安與金融界高度關注，主要在於攻擊者如何繞過非約定轉帳單筆5萬元的限制，並跳過簡訊與生物辨識等雙重驗證機制。台北地方檢察署已正式分「他字案」，朝《中華民國刑法》妨害電腦使用罪方向交由專案小組偵辦。警察機關與台北富邦銀行合作，已緊急圈存凍結該筆4,176萬元轉入的警示帳戶。
依據金融監理標準，資安防護範疇涵蓋資料完整性、機密性與服務可用性。即使本次攻擊源於外部駭客滲透或國外供應商原始碼瑕疵，金融機構仍肩負系統上線前評測與內部控制防線的最終責任。過過國內國泰世華銀行及第一銀行曾因資安系統缺失或ATM遭惡意程式入侵，遭主管機關依法裁處罰鍰。
金管會7日內回報 系統防衛落實零信任架構
主管機關要求永豐銀行必須於2026年11月12日前提報重大偶發事件的最終處置報告。金管會銀行局將會同資訊服務處評估該銀行在系統上線前是否完成完整的滲透測試與資安評鑑，並確認相關交易監控與預警機制是否適時啟動。
永豐銀行表示已委請第三方資安團隊全面進駐，針對全行網路交易通道進行零信任（Zero Trust）架構重構與情資通報。檢調單位與金融資安資訊分享與分析中心（F-ISAC）後續將公布系統技術漏洞細節，確保同業防範類似安全漏洞。
資料來源：中央社、金管會新聞稿、巨亨網、太報。
