4176萬元驚魂記，連APP都還沒打開，錢就先被轉走！這場堪稱「金融界鬼故事」的駭客事件，發生在11月3日。永豐銀行接獲客戶反映，自己未開啟APP、未操作轉帳，帳戶裡的錢卻不翼而飛。整起事件涉及418名客戶、427筆異常交易，總計4176萬元，全數流向台北富邦銀行的同一個收款帳戶。
幸好收款帳戶遭凍結，永豐也在當天將款項與手續費全數退還。隔天高層親上火線，將原因指向外部駭客利用「供應商安全設定」發動攻擊。面對外界追問，客戶沒操作，身分驗證與交易授權究竟怎麼被突破？當時永豐銀行總經理莊銘福以案件進入司法程序為由，未公開關鍵細節，卻強調：「所有的細節我們現在掌握得非常非常清楚。」
但一週過去，最核心的靈魂拷問來了：既然銀行都說掌握清楚了，那負責把關的金管會，看到那份「非常清楚」的後續報告了嗎？
在今（12）日的例行記者會上，銀行局副局長張嘉魁先表示，永豐會在當天回報重大偶發事件的後續處理情形。直到媒體進一步追問究竟收到沒有，才得到明確答案：「目前是還沒收到，但它今天一定會報進來。」
這裡得分清楚，永豐銀行先前已經通報，這次等的是後續資料。依規定，銀行須在通報次日起7個營業日內，函報詳細資料，包括調查內容、處理方式及改善措施，或後續處理情形，並非一定得在當天交出結案報告。記者會回應時，雖已是期限最後一天，但仍在期限內，不能因報告尚未送達，就認定永豐逾期。
那麼，金管會現在到底掌握了多少案情？根據永豐目前的說法，駭客是利用供應商安全設定，入侵新網銀APP交易系統的「中台」。官員解釋，這代表駭客繞過前端客戶身分驗證，並非從客戶手機或一般登入程序進入。
但更令人不安的問題是：就算進了中台，又如何在沒有客戶操作、沒有OTP驗證的情況下完成轉帳？面對媒體追問，金管會資訊服務處處長林裕泰表示，尚未看到詳細資料，無法用猜測回答。
金管會已要求永豐全面清查受攻擊的真正根因，並持續督導銀行透過金融資安資訊分享與分析中心（F-ISAC）分享情資，強化金融聯防；後續也將針對個案缺失，檢討供應鏈管理與相關自律規範。
錢雖然退回去了，但這場風暴絕非句點。從銀行高層的「掌握清楚」，到主管機關能真正核實原因，這中間還欠缺多少關鍵拼圖？這份待送交的後續報告，不只要讓金管會看清楚，更要讓網銀用戶知道：銀行究竟補好了哪些防線？
