扣款前须确认客户授权
永丰银行新网银系统遭骇，导致418名客户存款遭人转走，影响金额高达4176万元，引发社会高度关注。KPMG安侯企业管理董事总经理谢昀泽建议，针对高风险汇款，银行应将客户身份、装置、交易内容、收款人与金额等信息一并确认，而非只依赖前一道系统传来的已验证结果。银行已表示事件与新网银交易系统供应商的安全设定有关，并已采取加强验证与异常交易监控等措施，完整攻击方式仍待后续调查厘清。
严防身份误认放行交易
谢昀泽指出，网银交易如同银行临柜服务，即使查得账户资料，仍须确认客户是否有权动用存款，并核对客户是否同意该笔交易的收款对象与金额。攻击者可能透过反复试误找出有效账户，当系统误认操作者身份、未确实核对交易授权，或将其他程序传送的指令视为已获客户确认，就可能放行非客户本人意愿的交易。他强调，网银安全的最后一道防线，不只是确认谁登录，而是在扣款前确认转给谁、转多少，是否真的是客户的意思。
测试须涵盖端到端流程
银行App上线前通常会进行功能与资安测试，也可能委托第三方检测。KPMG安侯建业执行董事林大馗指出，关键在于测试的深度、广度及有效性。测试不仅要确认正常转账能否完成、检查原始码与个别组件安全性，也须涵盖App、验证服务与扣款系统串接后的完整交易流程。后续可优先检视身份验证、装置管理、交易确认，以及相关系统间是否正确传递并检核客户授权状态，特别是没有客户授权的交易能否确实被挡下来。
新旧系统皆须强化控管
谢昀泽分析，从台湾金融业过去重大资安事件来看，风险经常出现在两个极端，一是运作多年的老旧系统，另一个则是刚上线的全新系统或组件。老旧系统可能存在尚未修补的漏洞，新系统则可能因管理者尚未熟悉安全设定，或未经足够完整测试即上线而增加风险。老系统应有明确修补与汰换计划，新系统上线前应以接近正式营运的设定完整跑过端到端交易流程，并规划异常监控与暂停机制。用户不需过度恐慌，但应开启转出或扣款通知，发现非本人交易应透过官方App或官网客服管道通报。