沒開 App 卻顯示「刷臉通過」？永豐四千萬盜轉案戳破生物辨識安全感

永豐銀行今日 419 名客戶帳戶遭異常轉出 4,000 多萬元，部分交易紀錄寫著「臉部掃描確認」。永豐稱是新網銀系統程式異常、款項已全數返還，但錢為何全進同一帳戶、驗證為何放行、受害者又為何集中雲林？都還沒說清楚。
（前情提要：永豐銀行驚傳盜轉！多名帳戶今早莫名轉出 10 萬，官方尚未證實）
（背景補充：快訊》永豐盜轉受害者：銀行通知今天就會把錢匯回，原因還在調查中）

本文目錄

永豐銀行今（3）日有 419 名客戶的帳戶各被轉走約 10 萬元，最早在 Threads 發文的受害者說，交易紀錄寫著「臉部掃描確認」，但他根本沒開 App。

當然，這不一定代表刷臉被破解：畢竟銀行收到的只是手機送來的驗證成功簽章。但這次事件確實戳破「刷臉就等於本人操作」的安全感。真正原因，要等永豐 11 月 12 日前交給金管會的報告才能得知。

」為什麼紀錄寫「刷臉通過」，錢還是被轉走？

先看機制。永豐官網的說明指出，FIDO 是國際 FIDO 聯盟訂定的網路身分識別標準，也就是國際通用的手機生物辨識登入標準，結合公開金鑰加密架構，「不保存密碼、私鑰或個人生物特徵」，並規定「需先驗證綁定行動裝置，才能開啟生物辨識」。

FIDO 聯盟的說明也寫到，用生物辨識或 PIN 碼解鎖裝置的動作只留在本機，生物特徵資料不會離開裝置，線上服務只收到驗證登入所需的公開金鑰與簽章。

也就是說，臉是手機認的，銀行只認手機送來的簽章，所以「臉部掃描確認」不能直接當成有人刷了臉的證據。

再看受害者的說法。最早在 Threads 發文的受害者表示，帳戶莫名被用「臉部掃描確認」的狀況轉出 10 萬元，並說「本人完全沒開 app 而且沒做任何約定帳戶」。

官方這邊，金管會銀行局副局長王允中在記者會上說：「有接獲客戶反映，（該行）新版行動銀行 App 沒有登入帳戶卻有資金匯出的交易，經過永豐銀行比對，發覺都匯到同業的相同的一個帳戶裡面，收款的銀行已經暫時凍結該收款的帳戶。」

那麼，鎖後面到底出了什麼問題？永豐目前只給了四個字：程式異常。

還有哪三件事沒說清楚？

金管會初步統計，這次有 427 筆款項、每筆約 10 萬元、合計 4,000 多萬元，影響 419 名客戶。永豐銀行在聲明中表示：「今日內部發現『新網銀交易系統』程式異常，造成部分帳戶不明轉出款項，目前已掌握原因並暫停服務，之後即無相同情事發生。」聲明沒有說明具體原因。

筆者整理出三個疑點。

疑點一：為什麼 427 筆款項全進了北富銀的同一個帳戶？

程式異常把錢轉出去，不算難想像；難解釋的是 427 筆全部流向同一個他行帳戶，如果我是駭客，應該會挑選更多人頭帳戶才對。

目前帳戶是誰的，永豐、北富銀與警方都沒公布。金管會則表示，收款帳戶是什麼樣的帳戶、為什麼錢會進到這個帳戶，以及系統是否遭駭，都還在了解中，連主管機關都還沒有答案。

疑點二：驗證這一關，到底有沒有跑？

沒開 App、沒約定、超過單筆限額、連新版 App 都沒登錄過，紀錄卻寫臉部掃描確認，鏡週刊整理也指出多名受害者事前沒收到登入或驗證碼通知。

紀錄上的刷臉，是真的刷了，還是系統自己填上去的？永豐沒有說明交易如何越過限額與約定設定。

疑點三：為什麼都集中在雲林？

刑事局表示，165 上午 10 時 48 分接獲第一件永豐客戶報案，截至中午受理 68 案，「多數為雲林縣背景的男性」。網傳受害者身分證字號首碼都是 P，代表初次設籍雲林縣，但官方只證實到多數為雲林縣背景。

程式異常若是隨機發生，很難集中在同一個縣；若是按某種條件挑出來的，條件是什麼？此外，雲林警局朝妨害電腦使用罪方向偵辦，永豐則稱程式異常，兩邊方向不同。

錢回來了嗎？原因何時會知道？

損失方面，永豐在聲明中表示，款項包含手續費等，已全數返還客戶，金管會則說永豐是以代墊款方式返還。收款端，北富銀表示已將受款帳戶列為管制帳戶，「目前確認帳戶已入帳款項未轉出」；王允中也說：「收款方的帳戶，目前就是先凍結住，所以這個錢不會出去。」永豐已下架新版 App，改引導用舊版 App 或 ATM。

原因方面，永豐須在 7 個營業日內（11 月 12 日前）向金管會提出完整報告。金管會關注客戶權益與釐清根因，王允中表示先讓銀行自行查核。至於會不會被罰，他說：「看事件輕重與發生原因，不設定是否一定開罰。」罰不罰尚未決定。

警方這邊，刑事局表示已請永豐查明並提供資料，也協助通報收款銀行圈扣。