把時間倒轉回11月3日，永豐銀行接獲客戶反映，自己未開啟APP、未操作轉帳，帳戶裡的錢卻被轉走。整起事件涉及418名客戶、427筆異常交易，總計4176萬元，全數流向台北富邦銀行的同一個收款帳戶。
收款帳戶遭凍結，永豐當天退還款項與手續費，隔天出面說明，將原因指向外部駭客利用供應商安全設定。但錢補回來了，存戶的疑問還在：我根本沒點開網銀APP，駭客到底怎麼把錢搬走？
金管會銀行局副局長張嘉魁今（12）日說明，根據永豐的說法，駭客入侵的是新網銀APP交易系統的中台，並非透過客戶手機或一般登入程序進入。「中台」到底是什麼神祕領域？金管會資訊服務處處長林裕泰解釋，前台是客戶手機可以連接的地方，後台是真正核心系統運作之處，中台則是介於兩者之間的中介處理層，可能負責資料分析、推算或暫存等工作。
若用一棟大樓來比喻，前台像接待大廳，後台是核心作業區，中台則是居中處理資料的工作區。這是幫助理解的比喻，並不代表銀行實際系統只有三道門。
林裕泰說，一般使用銀行APP，會先經過帳號密碼或FIDO等身分驗證，再由前台進到中台。這次的關鍵在於，駭客直接進入中台，繞過前端的客戶身分驗證程序。
也就是說，你還沒走到銀行大門口，駭客卻已從另一條路闖入。這說明了為什麼客戶沒開APP，銀行端的交易系統仍可能遭到攻擊，但還不是整條轉帳路徑的完整答案。
真正讓人背脊發涼的問題，還在後頭：進入中台，和有權把客戶的錢匯出去，究竟如何接在一起？面對進一步追問，為何能在沒有客戶操作、沒有OTP動態密碼驗證的情況下完成轉帳？面對這個直戳痛點的提問，林裕泰表示，尚未看到詳細資料，無法用猜測回答。
目前能確認的是，官員已說明繞過前端驗證的入侵方式；至於交易授權如何被突破、OTP在這些交易中究竟如何被處理，仍待詳細調查。不能直接把它寫成「OTP已遭破解」，更不能說所有防線都已查清楚。
依金管會說明，這套交易系統目前沒有其他台灣銀行導入。但供應商提供的系統出了問題，銀行自己的把關責任，同樣得檢視。金管會指出，依現行規範，銀行須做好廠商盡職調查，並在契約中要求廠商確保沒有惡意程式與後門程式。這是既有要求，不代表本案已查出後門，更不能延伸成有內鬼。後續將依個案缺失與真正根因，檢討供應鏈管理及相關自律規範。
對存戶來說，可不管「中台」這個術語，他們的問題很直接：「我沒登入、沒操作，銀行憑什麼放行這筆轉帳？」入侵位置有了初步說明，接下來，就看永豐能不能交代清楚，這4176萬元到底怎麼一路被轉出銀行。
