安德魯是怎麼讓 ATM 乖乖聽話的？|數位時代 BusinessNext

安德魯是怎麼讓 ATM 乖乖聽話的？

還記得安德魯嗎？今年 7 月，他與同伴們魔術般透過手機，就能讓銀行 ATM 華麗吐鈔的手法，讓台灣民眾都驚呆了！臺灣駭客年會提醒大家，唯有理解攻擊手法，才能對資訊風險產生抵抗能力！

還記得安德魯嗎？

2016 年 7 月，臺灣發生首起透過手機就能讓銀行 ATM 吐鈔的事件，魔術般的手法，一時之間讓台灣民眾都驚呆了！事實上，從 2014 年開始，全球 ATM 的攻擊事件就如火如荼地不斷增加，駭客盜領的事件凸顯出金融資訊安全的瑕疵，資安風險沒有被準確評估！危機的存在，就如同人不可能生活在無菌室中，我們都有可能被感染疾病，如何對資訊風險產生抵抗力！在犯罪樣貌不斷改變的今天，要學習如何與風險並存。

如何滲透銀行進行攻擊？

台灣威瑞特系統科技資安長叢培侃首先分析，歹徒針對銀行的 ATM 攻擊，可主要區分為「銀行、ATM、金融卡片」三個層面，企業面對不斷演變的資安威脅環境，其中一項最大的挑戰就是「進階持續性滲透攻擊（APT, Advanced Persistent Threats）」。APT 攻擊指的是從一段時間技術和人員的情報蒐集開始，描繪出後期攻擊的樣貌，在銀行中最常見的是透過電子郵件夾帶病毒附件，使內部員工點開後，感染內部主機。駭客接著透過這些已經被感染的內部主機，掃描內部有哪些電腦，因為受感染的電腦分享路徑是開啟的（對駭客來說），最終駭客就可以在銀行內部植入因應該銀行系統架構所設計的破壞程式；這就是最常見的攻擊銀行手法。

俄羅斯一間知名的銀行，就曾經遭受金融攻擊組織「GCMAN」的攻擊，手法也是透過夾帶病毒的電子郵件寄給銀行雇員，郵件開啟後造成電腦中毒，不論電腦是否有連網，惡意病毒都會盡可能感染，嘗試讓提款機吐鈔。另一個惡名昭彰的攻擊組織「Carbanak」，透過電子郵件讓員工電腦中毒後，就可以開啟一個紀錄器，詳細紀錄銀行承辦人員的日常的操作，當發現人員在操作比較重要業務的時候，就能讓受感染的主機開起錄製功能。

誰說提款卡就安全？四面埋伏的提款卡攻擊

你我手中再常見不過的 ATM 金融卡，也可能成為攻擊的目標。ATM 金融卡的攻擊一般分為兩種：「Skimmer」指的是傳統磁條卡片的側錄，「Shimmer」則是指我們現在常用的晶片卡側錄。今年 9 月初，美國秘情局發現部分 ATM 被裝有探針，透過 ATM 電路板讓駭客對 ATM 進行遠端控制；密情局因此要求銀行必須全面檢查機器設備。

由於安裝探針必須把 ATM 機台拆開，叢培侃認為實際的作法有兩種可能，其一是透過威脅利誘策反，讓平時銀行內部的技術維修人員直接在例行性維護時進行。另外，過去警方也曾在犯罪集團的聊天記錄中發現，集團會選定義大利人煙稀少小鎮裡無人管理的 ATM，趁放假沒有人時把 ATM 整個拆開研究學習，假期結束後再裝回去，熟悉內部構造後再裝入探針，一旦銀行實體安全沒做好，都有可能面對這種問題。

一般 ATM 的吐鈔模組，都是透過 USB 來銜接，駭客在機器中接上自己的 USB 後，就能讓機器以為有兩個吐鈔模組，接著把正常的吐鈔模組關掉，便能利用假的 USB 去操作，手法相當精細。

叢培侃也引用 Blackhat 2016 特別針對歐洲晶片金融卡攻擊手法分析：一般金融卡交易周期有兩分鐘，有犯罪集團特別找有 NFC 功能的 ATM ，在交易中利用 NFC 將這項交易資料傳送到另一張卡片上，在交易還沒完成時整個卡片資料已經被複製。

消費場域處處可見的 POS，與 ATM 一樣危險！

目前金融犯罪中常出現的 ATM 攻擊，大多鎖定在機台吐鈔元件。駭客駭入銀行系統後，從內部網路控制 ATM 執行特定程式，遠端操控 ATM 控制吐鈔模組。駭客首先必須找到突破口，來進入銀行連線，並找到存取派送主機的方法，取得主機與 ATM 的控制權，來發送讓吐鈔模組啟動的指令。

叢培侃強調在談資訊安全時只看 ATM 是遠遠不夠的，國際連鎖飯店凱悅（Hyatt）去年就曾經發生磁卡資料外洩事件，因為商務使用的 POS 系統（Point of Sales，銷售點終端）廠商跟 ATM 系統大多相同，因此這些攻擊從 ATM 移到 POS、從 POS 移到 ATM 都是相當容易的，現在許多傳統零售業者都變成電商，對資訊安全需求也提高，POS 系統的攻擊未來在零售業也是有發生的可能，這些接觸點都必須要納入資安監控機制去考量。

惡意攻擊增加，東歐金融攻擊黑色產業

近幾年，不論是針對銀行還是 ATM 本身的惡意攻擊都有增加的趨勢，每年惡意攻擊的頻率越來越高，目標也從東歐移往亞洲地區，包含日本、越南、泰國、新加坡、香港甚至墨西哥等等。

相關事件一連串的發生， 8 月在泰國、10 月在吉爾吉斯，都接連發生類似台灣ATM被盜領事件，目前世界上的金融攻擊組織主要有四，分別為 Anunak（Carbanak）、Corkow（Metet）、Buhtrap 與 Lurk ，今年 7 月就是 Anunak 攻擊台灣的第一銀行，這些行動當然也引發一般民眾的擔心，先前就有民眾在 Line 群組中瘋傳，如果看到密碼鍵盤（PIN Pad）上有異常的貼紙，就要把它撕掉。這種可能是錯誤的訊息傳佈，讓臺灣的銀行提款機貼紙慘遭民眾撕光光。

叢培侃與臺灣駭客年會都提醒，資訊科技每天都在更新，犯罪型態不停的在改變，惡意攻擊常已不再是你我腦海中的樣貌；因此，不只金融業，我們都應該要學著將風險評估、資安情報分享一同納入決策考量，才能一起面對新型態惡意攻擊。

本文是由臺灣駭客年會（HITCON）在日前所舉辦的「金融資安研討會」演講整理，如果讀者們有興趣，不妨直接收看由臺灣駭客年會的直播，與叢培侃先生所提供的投影片。

員工自行墊付差旅、採購、雲端訂閱或廣告費，月底再拿著單據報帳；不同部門各自綁定信用卡，企業難以即時掌握支出；員工離職後，若原有付款設定沒有同步移轉，也可能影響後續業務運作。這些看似零碎的支付問題，背後都涉及一個關鍵議題：中小企業能否更有效率的管控資金。

對資源有限的中小企業而言，支付管理不只是財務部門的行政工作，當支出分散、現金流難以預測，甚至連跨境匯款都存在時間與到帳金額的不確定性，企業的營運效率與成長速度都可能受到影響。

為協助中小企業解決上述挑戰，萬事達卡（Mastercard）提供端到端商務解決方案–虛擬卡、車隊卡、跨境匯款服務到Virtual C-Suite，讓支付從單純的交易工具，轉化為企業管理資金與做決策的基礎。

以商務卡結合虛擬卡，讓每一筆支出更可控

Mastercard台灣區董事總經理陳懿文指出，中小企業目前常見的支付方式主要是信用卡與轉帳，若大量依賴員工代墊，不僅增加報帳與核銷成本，也讓企業難以即時掌握整體支出。「導入商務卡後，企業可以將原先分散在員工身上的支出收回企業管理，同時，進一步設定使用規則，例如限定交易商家、金額、消費類別、使用期間或國家，讓企業對資金使用建立更細緻的控管機制。」

除了支付管理，商務卡也能進一步降低企業日常營運成本。陳懿文表示，商務卡持卡人可透過商務優惠計畫Easy Saving Specials，取得Google Workspace、Shopify、LinkedIn、Notion、Sixt、 Agoda等品牌優惠，涵蓋雲端服務、電商營運與數位行銷等企業常見支出。

虛擬卡的In Control平台則讓支付管理變得更精準。例如，企業可以針對特定通路建立虛擬卡號，讓員工綁定手機支付差旅費；也可以針對單筆訂單產生一次性虛擬卡號，直接將付款與訂單串聯，後續再透過虛擬卡號進行核銷與對帳，降低人工處理成本。

透過Commercial Connect API，企業可以把虛擬卡功能整合進既有的企業資源規劃（ERP）系統、採購或費用管理系統，從發卡、付款到後續管理，都能在原本熟悉的平台上完成。目前相關方案已整合SAP Concur、SAP Taulia、Pay4You、Grasp Technologies與Kresus等平台，也支援企業自行建置的客製化ERP系統。

Mastercard台灣區董事總經理陳懿文：「我們以每年1,750億筆交易的資料為基礎，將中小企業每一個進出與支付節點問題，逐步設計出不同的解方，一步步實踐『支付至簡，商業致遠』的願景。」

圖／數位時代

從車隊卡到跨境匯款，助中小企業降低營運不確定性

對物流、運輸等擁有大量車輛的企業來說，加油、維修是每天都會發生的固定支出，過去，不同加油站可能需要不同儲值卡，管理不易，也可能因支付問題影響車輛調度與運輸，導入Mastercard的車隊卡後，問題不復存在。

企業可以限定卡片只能用於加油、維修、停車等特定商用項目，並進一步將卡片與車號或駕駛人建立關聯，例如一張卡對應一台車或一位駕駛，或讓駕駛人以虛擬卡支付車輛所需費用。對企業來說，這不只是換一張卡，而是把原本分散的車隊支出納入同一套管理架構，在維持車輛正常運作的同時，也提高資金使用的透明度。

同樣的邏輯，也延伸到日益增加的跨境匯款需求。隨著中小企業將業務版圖擴展到海外市場，對跨境匯款的需求將隨之攀升，若仍以傳統的方式進行跨境匯款，不僅得等候長達1到3天的匯款時間、也常因為中轉銀行收取費用導致到帳金額有落差，更不用說即時追蹤匯款進度，一旦款項延遲或金額出現落差，就可能進一步影響對帳與供應鏈運作。

為解決上述挑戰，Mastercard推出Mastercard Move，讓中小企業可以輕鬆掌握每一筆匯款的狀態，以更有效率的方式完成跨境匯款，全球60%的市場可於1小時內到帳、95%的市場1天內可到帳，同時，以全額到帳降低到帳金額不確定帶來的營運風險。

從掌握現在到預見未來，Mastercard用Virtual C-Suite把數據變成經營洞察

協助中小企業以商務支付方案優化支付與資金管理後，Mastercard接下來思考的是，知道錢花在哪裡後，若能進一步知道未來會發生什麼，創造的商業價值更高。如果支付數據不只是用來對帳，而能進一步回答「未來現金流會怎麼變化」、「現在適不適合擴張」、「企業的成長速度是否落後同業」，支付的價值就會從管理工具進一步提升為決策工具。

而這也是Mastercard會推出Virtual C-Suite的原因，目標是讓資源相對有限的中小企業也可以透過數據分析洞悉未來局勢。

陳懿文表示：「我們以每年1,750億筆交易的資料為基礎，再結合企業自身的財務數據推出Virtual C-Suite服務，其中預計Virtual CFO功能將在今年底於特定市場試點營運。中小企業只要將銀行與交易等數據上傳到平台、或者是透過API串聯財務系統或發卡行的網路銀行，即可協助企業掌握財務健康、預測現金流，以及進行同業比較。」

Virtual CFO就像中小企業虛擬財務長，透過對話式問答，不僅能從支付數據中找出企業忽略的議題，還會提供可執行的專業建議，讓企業看見下一步，進而提升營運韌性與績效。

舉例來說，一家餐廳營收持續成長，卻可能因為平台款項較晚入帳、食材需要即時付款，造成現金流壓力；對餐廳營運者來說，問題倒不是「有沒有賺錢」，而是「錢什麼時候進來」的現金流管理，Virtual CFO在協助其挖掘出這個議題後，將進一步從收付款週期找出落差，再協助企業評估付款條件、付款時間等調整方式。

同樣的情況也可能發生在企業擴張時。接到新客戶或大訂單，看起來是成長機會，但如果資金準備不足，反而可能增加營運壓力，透過Virtual CFO，企業可以預測未來現金流，再決定是否擴張據點，以及確切的時間。同業比較則提供另一個分析角度，舉例一家自行車店的年營收成長15%，單看數字會覺得營收數據亮眼；但若Virtual CFO進一步比較同業數據後發現平均成長率是30%，將重新思考成長速度，建議主推商品、調整客單價，以及進行相應的行銷投入。

從商務卡到虛擬財務長，Mastercard提供的不是單一產品，而是一套隨企業成長逐步疊加的支付管理層次——先把分散的支出收回可控範圍，再透過數據預見現金流與擴張時機。對於還在用員工代墊、多張信用卡管理支出的中小企業來說，第一步不必等到導入Virtual CFO，從申請一張商務卡、設定使用規則開始，就能踏出第一步。從商務支付方案到Virtual CFO服務，Mastercard致力實踐「支付至簡，商業致遠」的願景：當支付流程更簡單、資金流向更透明，數據便能成為企業決策的依據，協助中小企業從掌握當下，進一步預見未來。