loading...
全球虛擬資產交易所幣安（Binance）遭竊、永豐銀行接連發生異常轉帳，使金融資安風險再受關注。金管會副主委莊琇媛4日表示，資安威脅不一定直接攻擊核心系統，也可能從員工設備、系統權限或內部管理漏洞切入，盼金融業將資安提升至董事會治理責任，重新檢視防線，並建立跨機構共同防禦機制。
莊琇媛4日出席台灣週論壇表示，今年首度將資安列為重要議題，反映金融服務高度數位化後，資安已不只是資訊部門的工作。民眾每天使用手機轉帳、網路投資，背後都仰賴身分認證、權限控管、系統監控及異常偵測等機制，任何環節出問題，都可能影響客戶權益及金融體系信任。
近期幣安遭竊事件，初步調查可能與工程師筆電遭入侵有關，攻擊者藉此進行未經授權的提領交易，損失估計達63億美元（約新台幣2069億元），後續原因仍待釐清。
莊琇媛提醒，資安風險可能從工作電腦、單一權限或供應鏈環節切入，虛擬資產服務業者也應檢視人員、設備、委外服務及異常交易攔阻機制。
另一方面，永豐銀行3日發生新網銀系統異常，初步統計有427筆異常交易，轉出金額逾新台幣4000萬元，影響419人。莊琇媛表示，銀行已暫停相關服務，並退還款項及手續費。這起事件雖與外部駭客攻擊性質不同，但同樣凸顯內部系統開發管理、權限控管、上線測試及異常交易偵測的重要性。
莊琇媛分析，AI正在改變資安攻防，金融機構可運用AI分析大量系統紀錄、辨識異常行為，但攻擊者也可能利用AI蒐集資訊、尋找漏洞，發動更精準的攻擊。她說，金融業資安治理更要掌握AI能採取哪些行動，確保所有操作都在明確授權範圍內。
面對資安威脅，莊琇媛提出3大期許。首先，資安應從資訊部門提升為董事會及高階管理階層的治理責任，掌握關鍵資產、重要服務及風險承受能力，並配置足夠人力與預算。
其次，金融機構應以假設已遭入侵、系統可能發生異常的思維重新檢視防線，強化偵測、隔離、應變及復原機制，透過定期測試與情境演練提早發現漏洞。第三則是跨越單一機構界線，強化金融業情資分享、事件通報及跨業演練，避免個別資安事件擴大為系統性風險。
