扣款前須確認客戶授權
永豐銀行新網銀系統遭駭，導致418名客戶存款遭人轉走，影響金額高達4176萬元，引發社會高度關注。KPMG安侯企業管理董事總經理謝昀澤建議，針對高風險匯款，銀行應將客戶身分、裝置、交易內容、收款人與金額等資訊一併確認，而非只依賴前一道系統傳來的已驗證結果。銀行已表示事件與新網銀交易系統供應商的安全設定有關，並已採取加強驗證與異常交易監控等措施，完整攻擊方式仍待後續調查釐清。
嚴防身分誤認放行交易
謝昀澤指出，網銀交易如同銀行臨櫃服務，即使查得帳戶資料，仍須確認客戶是否有權動用存款，並核對客戶是否同意該筆交易的收款對象與金額。攻擊者可能透過反覆試誤找出有效帳戶，當系統誤認操作者身分、未確實核對交易授權，或將其他程式傳送的指令視為已獲客戶確認，就可能放行非客戶本人意願的交易。他強調，網銀安全的最後一道防線，不只是確認誰登入，而是在扣款前確認轉給誰、轉多少，是否真的是客戶的意思。
測試須涵蓋端到端流程
銀行App上線前通常會進行功能與資安測試，也可能委託第三方檢測。KPMG安侯建業執行董事林大馗指出，關鍵在於測試的深度、廣度及有效性。測試不僅要確認正常轉帳能否完成、檢查原始碼與個別元件安全性，也須涵蓋App、驗證服務與扣款系統串接後的完整交易流程。後續可優先檢視身分驗證、裝置管理、交易確認，以及相關系統間是否正確傳遞並檢核客戶授權狀態，特別是沒有客戶授權的交易能否確實被擋下來。
新舊系統皆須強化控管
謝昀澤分析，從台灣金融業過去重大資安事件來看，風險經常出現在兩個極端，一是運作多年的老舊系統，另一個則是剛上線的全新系統或元件。老舊系統可能存在尚未修補的漏洞，新系統則可能因管理者尚未熟悉安全設定，或未經足夠完整測試即上線而增加風險。老系統應有明確修補與汰換計畫，新系統上線前應以接近正式營運的設定完整跑過端到端交易流程，並規劃異常監控與暫停機制。用戶不需過度恐慌，但應開啟轉出或扣款通知，發現非本人交易應透過官方App或官網客服管道通報。