[查士朝] 一銀盜領案的後續檢討|數位時代 BusinessNext

在一銀事件處理告一段落之際，應邀對一銀事件最後做個回顧與檢視。為此，我們特別再把相關的新聞都拿出來檢視一次，可以發現隨著時間的演進，事件的全貌也越來越清楚：

圖說明

第一銀行ATM自動大量吐鈔，遭盜領七千多萬元。圖片為第一銀行示意圖，非指涉此分行為出事銀行。圖片來源：第一銀行網站。

7/19 ，許多新聞提到更新系統把惡意程式派送到 ATM，但這中間還缺了駭客到底是如何連接到 ATM 去做控制那一段。

7/25 ，的「駭客入侵一銀ATM流程追追追」一文中，可發現相關報導對於駭客入侵的流程已經都蠻清楚。

當然，詳細的路徑可能沒有那麼具體的呈現，像是如果是透過釣魚郵件來散佈，那麼這釣魚郵件是感染到哪台電腦？接下來，到底駭客是怎樣可以持續地從外網連接到內網，這條路徑到底找出來沒有？

筆者並不苛求在新聞上要看到這方面的資料。基於保護銀行資訊安全的角度，不用對外給到那麼詳細的資料。有些令一般大眾疑惑有內鬼的疑點，例如駭客如何知道實體機器與 IP 的對應，其實只要有人在某台 ATM 前與駭客通電話，一台一台換 IP 測試，看看吐鈔口有沒有打開，就可能可以知道答案。

圖說明

像這類追本溯源，除非抓到操作網路的人，不然也無法確知答案。尤其當駭客知道用 sdelete 去刪除痕跡的情況下，的確不容易找到軌跡。在進入正題前，筆者先來聊聊為何鑑識人員一般都得花很大功夫，去每一台主機去找跡證。

內網流量紀錄的好處

邏輯上，如果第一銀行有把所有內網的傳輸資料都記錄起來，那駭客做了甚麼，以及攻擊的軌跡就都清楚了。但一般企業因紀錄的硬體成本太高很少採用這個作法。簡單舉例計算，如果每秒網路傳輸是 10M bps 的話，約當每秒傳 1.25 M 位元組，一小時就需要 4.5 G 的容量，而這只是其中一台電腦的傳輸量。

所以除非一些特別的狀況，不然很少有人會把所有的網路封包都存起來。畢竟要花的成本太高了！正因為沒有這樣的資料，因此辦案人員只好把每一台主機的硬碟來掃掃看有沒有安裝後門程式的痕跡，但是如果程式被刪了，當然要重建路徑就有困難。

建議一、這次事件事實上讓金融機構帶來許多重新檢視資訊安全的機會，但絕不能最後只是換機器或補人來解決而已。金融機構應該整體去思考整個資訊安全的策略與佈局，做出最佳化的配置！

我為什麼一開始要先強調這個？最主要還是回來根本概念：很難有絕對安全的事，如果甚麼都不做最安全。

只要你要提供服務，就有可能有漏洞，進而有被駭客攻擊的可能。重點是你要知道問題然後有一定的對策。舉例來說：現在大家攻擊的箭靶之一是為何不升級 Windows XP，但如果照新聞寫的，駭客是透過更新去啟動 telnet 服務，其實要在非 Windows XP 的電腦透過更新去做到這件事也不是件難事。你要大家花那麼多錢去把系統都更新了，雖然增加了難度，但就短期成本效益來說，並不一定划算。

圖說明

現在大家攻擊的箭靶之一是為何不升級 Windows XP，但如果照新聞寫的，駭客是透過更新去啟動 telnet 服務，其實要在非 Windows XP 的電腦透過更新去做到這件事也不是件難事。

長久來說，那些機器是該更新！但此時如果請一批資安專家去把防火牆的設定重新徹底檢視，並且加強對於內網的流量監控會更有效益。類似的例子還很多：例如做流量監測，其實也不是說要立刻去搞個巨量資料的解決方案，去把所有的網路封包都收起來分析。事實上，只要能夠先做好對於資料流的記錄與分析，不需要記錄傳輸內容，只看每個連線來源、目的與頻率，就可能有一定的效果了，這需要的成本就會差很多倍。

但為何大家會傾向於提這些大規模採購？以筆者個人的經驗來看，買和換這件事最簡單！對銀行來說，這是最快跟大家證明，我行投資資訊安全來解決問題的方法。同時，對外部一群虎視眈眈的廠商來說，這當然可以有一筆機會財，也會朝那個方向推進。

圖說明

筆者個人推測，現在大概每家銀行或金控的資安部門，每天會接到數通跟你講說他有各種方案讓你不要成為一銀的廠商電話。我在這邊首先呼籲，如果因為這件事情，讓老闆或社會大眾開始對資安受到重視，當有一筆資金挹注，還是要冷靜地去按照原先排定的優先順序去執行資安工作，畢竟 ATM 憑空吐出鈔票，大概是資安事件裡面最容易受到大眾注目的事件，以後不見得會再有這樣的事件發生。如果最後只是得到買了一些設備，或是讓資安部門補給個人，這就會很可惜。

建議二、既有的資訊安全規範都已經有要求，但重點在於實際落實

很多前輩與專家有提到：雖然一銀有通過 ISO/IEC 27001 與 ISO/IEC 20000，但範圍不及於 ATM。但其實在 ISO/IEC 27001 的 2013 年版，相較於之前的 2005 年版，特別強調範圍的決定應該是要有一個評估的過程，我覺得外稽單位應該要負起一定的責任，用這條去要求各組織資訊安全管理制度的涵蓋範圍。不過除了 ISO 27001 以外，我國本來金融機構就有金融機構辦理電腦系統資訊安全評估辦法，其中就明訂：

「直接提供客戶自動化服務或對營運有重大影響之系統(如電子銀行、分行櫃台、ATM自動化服務等系統)應該每年至少辦理一次資訊安全評估作業」。而資訊安全評估作業包括：
(1)資訊架構檢視、
(2)網路活動檢視、
(3)網路設備、伺服器及端機等設備檢測、
(4)網站安全檢測、
(5)安全設定檢視、
(6)合規檢視。

其中，有關合規檢視主要是要評估是否有滿足民國九十四年所訂定之「金融機構資訊系統安全基準」。此外，也要求要進行社交工程演練。

很諷刺的是，如果這次一銀事件如報導，代表他們社交工程演練失效，網路設備檢測未找出問題，網路活動檢視未發揮應有的功能。而這可以回推到讓他們通過 ISO/IEC 27001:2013 的外部稽核單位，這算是法規有訂定的要求，這是在決定 ISO/IEC 27001 範圍的必要項目，也就是說，ATM 與相關系統是屬於規定當中「直接提供客戶自動化服務或對營運有重大影響之系統」，外部稽核單位應該直接用這條就可以取消沒有把 ATM 納入範圍金融機構的 ISO/IEC 27001 證書。

所以不是國內沒有規範，重點在於規範的落實，尤其像是金融機構辦理電腦系統資訊安全評估的規定。這規定的檢測方向大致完備，除了在網路活動檢視檢視上，這點其實只要補強對於內網流量的監控與分析即可。

建議三、正視銀行短期不太容易找到一群技術專家的問題，建議先加強資安部門的稽核權力

前述規範落實其實有一個可能性是有執行但是看不出問題。這可能是因為技術上的難度，資安是一個很廣泛的領域，很少有人全部都懂，因此包括在稽核上面有些人一聽到一些專有名詞，一方面大家過去以訛傳訛就有一些刻板印象就算了，另一方面可能也是因為不懂想說不要丟臉就不追查下去。舉例來說，大家都講 ATM 是 SNA 專屬網路，所以可能你稽到這邊就停了，但是專屬網路和封閉網路是不同的，專屬網路是底下的協定是有專利你不能亂實作，但是並不見得外面不能連，我不知道一銀實際上是怎麼做，但是網路上搜尋可找到很多 SNA 和 TCP/IP 的整合方案，事實上，這次一銀事件也是透過 TCP/IP 從遠端連到 ATM。所以要執行工作來說，技術還是需要加強。

然而，目前一般資安稽核人員的能力要求，即便要求上過 ISO 27001 LA 課程或是取得 CISSP，對於特別技術還是不見得很懂，因此資安或是稽核人員，對於他的稽核標的，其實除了管理知識以外，技術知識也有一定的需要。

圖說明

不過，要找資安人員的話，一家銀行要自己擁有很多專業的資安人員很困難，畢竟一般銀行資訊人員的薪水和專門做資訊技術的公司相比有些落差，而且一個工作環境如果大部分都不是那個屬性，人很容易會覺得孤單。因此我講專業重要，但考量到現實，不太可能立刻去配置那麼多專業人力。技術專精的人才銀行如果銀行聘請有困難，除了要找外部顧問協助外，另一個就是儘可能結合很多銀行，或是由銀行公會去建立各類設備的安全基準，當然銀行公會有訂定「金融機構資訊系統安全基準」，這主要是要做出針對各種不同系統的版本。

此外，筆者覺得資安部門的稽核權力應該要加強，一般資安措施要落實，你稽核開缺失最快，畢竟你缺失到時候要被公司的董事會討論，然後直接就可以由董事會要求進行相關改善工作。另一方面，常聽到園區有些單位，如果抓到委外廠商違反資安規定，只要被抓到一個次數那個廠商以後就永不合作；也聽說在外商工作的朋友說，凡是有違反資安規定的情況，抓到就會開除。當然要做到這些事情可能有些爭議，但是正如商鞅立木建信一般，就是豎立一些典範就會有效果。

建議四、有系統的亡羊補牢吧！

圖說明

有系統地亡羊補牢吧！

最後，我們一般可以相信，銀行一般都有做到一定程度的資安防護，只是可能沒有那麼完全。因為銀行或金融單位的資訊資產龐大，我想或許許多銀行單位已經有在做，都應該已經盤點出所有的資訊資產以及設定。因此就是再次去確認這些資訊資產的設定與實際狀望相符，並且可以像滅火器一樣，直接就標示到底這個就滅火器上次檢查是甚麼時間點。雖然資訊資產可能不容易做這樣的標記，但是在資料庫或清單上，應該可對於每個重要資訊資產，標示出上次做資安檢查的時間，這樣即便你每次執行是用抽樣，最重要的是在一個期限內一定會全部檢查到。

《數位時代》長期徵稿，針對時事科技議題，需要您的獨特觀點，歡迎各類專業人士來稿一起交流。投稿請寄edit@bnext.com.tw，文長800至1000字，兩天內會回覆是否採用，文章會經編輯潤飾，如需改標會與您討論。

@@ACTIVITYID:638@@

從詐保到詐財，壽險業面臨的風險加劇

過往，壽險業者面對的主要風險是保險詐欺，例如，透過偽造事故情節、虛構醫療紀錄等方式詐領保險理賠金，然而，隨著科技迭代與詐欺集團的組織化、專業化，這類手法已快速進化，從「偽造病歷、輕病久住、醫療共犯」等傳統模式，轉向結合數位科技與精準話術的跨領域詐財操作。

這一波詐欺風險不僅滲透力強、具備高迷惑性，也直接影響保戶資產安全。例如，詐欺集團利用假冒理賠諮詢等方式竊取保戶個資，再一步步誘導客戶辦理解約或申請保單借款，最後要求將資金匯到不明帳戶等，壽險業者面臨的風險範圍也從「詐領保險理賠」延伸到「詐騙保戶資產」。

李淑娟資深副總經理進一步指出，南山人壽每年要處理逾 35 萬件解約與借款案件，很難單憑人力在海量案件中精準辨識高風險個案。「為有效防堵詐欺事件，南山人壽除開發 AI 模型辨識詐保事件，更進一步研發黃金眼 AI 防詐模型，用前瞻科技主動攔截風險，強化保戶資產的安全防護。」

南山人壽以黃金眼 AI 防詐模型守護保戶資產

在打造黃金眼 AI 防詐模型時，南山人壽面臨兩個挑戰：首先是壽險的交易頻率低，導致資料稀缺；其次，是詐欺樣本比例高度失衡，導致 AI 很容易誤判。為化解這些挑戰，南山人壽整合保戶行為、保戶與保單側寫資訊與情境因素等多模態資訊進行模型訓練，爾後，透過集成學習（Ensemble Learning）整合多個不同觀點的「專家模型」共同判讀，提升模型判斷準確性。

南山人壽數位專案經理蔡其杭表示：「以多模態數據源跟集成學習的策略打造黃金眼 AI 防詐模型後，我們除了將模型串連至臨櫃客服系統，以直觀的「紅、黃、綠」三色燈號即時呈現保戶的風險等級，協助客服人員快速識別高風險個案，主動介入並阻斷詐騙，更透過『自適應演進』與『外部資源擴充』兩個機制，持續優化模型辨識精準度。」

「自適應演進」指的是，客服人員會依據模型亮起的燈號，結合系統提供的關懷提問表，向臨櫃辦理解約或借款的保戶進行關懷詢問，如資金用途、是否接獲可疑來電等，藉此釐清是否存在異常情況，並將相關結果回貼標籤，作為後續調校模型的關鍵訓練素材，讓黃金眼 AI 防詐模型越用越精準。

「外部資源擴充」則是透過更多元的外部數據強化模型的防詐能力。例如南山人壽與內政部警政署刑事警察局簽署反詐騙合作備忘錄（MOU），在合規架構下共享情資，協助核對保戶是否曾有詐欺通報紀錄。蔡其杭補充，南山人壽目前正與電信業者合作，將其超過 1,400 項特徵因子導入模型，有效提升模型燈號判斷的靈敏度與可靠度，使黃金眼 AI 防詐成為更全面的金融詐欺偵測引擎。

蔡其杭表示，詐騙的手法日新月異，AI 阻詐模型除了能準確識別可疑的高風險案例外，更重要的是具備與時俱進、持續調優模型能力和效果的機制；如同維持客戶服務的品質一樣，刻不容緩。

李淑娟表示：「隨著模型的持續優化，黃金眼 AI 防詐模型的應用範疇將從目前的『臨櫃防堵』延伸到『全通路、跨產業、事前預警』的防禦機制，以事前預警的方式防堵詐欺事件。」舉例來說，當保戶撥打電話詢問保單借款或解約時，系統就會開始運作、提前識別風險，針對透過手機 APP 或網路平台辦理業務的數位客群，系統也會即時偵測，當出現高風險行為時即會立即展開關懷提問。

不僅從科技著手，南山人壽以 SAFE 逐步提升防詐安全網

值得特別注意的是，南山人壽並未將防詐視為單一的科技工程，而是從 SAFE–Skilled（防詐訓練）、Awareness（全民防詐）、Fintech（科技運用）、Engagement（聯防合作）–四個構面打造更完整的防護機制。

在專業技能方面，南山人壽不僅協助相關人員熟悉黃金眼 AI 防詐模型的操作模式，也持續透過內部教育訓練，以及跟刑事警察局等單位合作舉辦的工作坊等方式，全面提升員工識詐、阻詐的能力，達到 AI 人機互動的阻詐聯防保護網。

在防詐意識宣導方面，南山人壽除於全台 18 個分公司櫃檯播放刑事警察局提供的反詐騙影片，並在櫃檯明顯位置放置防詐文宣，協助來訪保戶掌握最新詐騙趨勢；更主動走入偏鄉、校園與新住民社群，並針對聽語障人士製作友善素材，以多元形式推廣防詐知識，降低詐騙事件發生的可能性。

在公私協力方面，李淑娟表示，南山人壽積極培育、鼓勵每一位壽險業務員成為「防詐大使」，在拜訪客戶時主動觀察各種異常徵兆，例如可疑的投資文宣或陌生人的頻繁出入，並將這些現場蒐集到的「軟性數據」提供回公司，作為模型判斷的補強資訊，以提升事前預警效果。

為了更好的保護高齡與失智等高風險族群，南山人壽也積極推動「保單安心聯絡人」機制，鼓勵保戶指定第二聯絡人，在其申請保單借款或終止契約時，可以主動通知聯絡人介入確認，降低詐騙風險；此外，亦針對受詐保戶提供「喘息關懷服務」，以低利紓困貸款協助保戶在遭遇詐騙後仍能穩定度過財務壓力，將防詐保護從事中攔阻延伸到事前預警與事後援助兩個層面，樹立產業新標竿。