錢退了，系統為何讓真金白銀被搬走，仍得一五一十明白給出交代。永豐今（4）日說明，外部駭客利用新網銀交易系統的供應商安全設定缺口進行攻擊，造成418名客戶、427筆款項異常轉出，合計4176萬元，款項與手續費已全數返還。
總經理莊銘福表示，這套系統由知名國外供應商提供，經向廠商詢問，目前該系統在台灣僅永豐一家客戶導入。銀行將蒐集證據向供應商求償，但未公開驗證如何被突破、轉帳限額為何沒擋住等細節，甚至連供應商是誰都沒透露。
銀行公布遭駭說法，對先前網友猜測的測試碼沒刪、測試環境搞混，提出了不同解釋。但外部攻擊與內部安全設定，並不是只能二選一：駭客如何進來，和系統為何讓他得手，是兩個都得追的問題。
《鏡報》先前在資安韌性與發展座談採訪林裕泰時，他表示，尚未看到銀行最後提出的報告，無法證實網路傳聞。針對記者追問，若是內部控管出錯，算不算資安問題？他釐清：「不一定是外力攻擊才叫資安議題。」
林裕泰說，資安包含機密性、完整性、可用性。白話說，就是資料有沒有外洩、內容有沒有被竄改，以及該提供的服務能不能正常運作。甚至設備故障，導致應有服務無法提供，也都算資安議題。
換句話說，依永豐說法，這次是有人破門而入，但系統自己出錯也可能踩到資安紅線。林裕泰強調，判斷是不是資安議題，看的是結果，不是只看內部程序。記者進一步追問永豐這件事是否也算，他回答：「如果就標準的資安定義來講，是算。」
這項說明不等於已認定銀行違反哪條規定。至於後續誰查、誰把關，林裕泰表示由銀行局主責，涉及資訊技術時會諮詢資訊服務處；內部有討論機制，但須依案件性質評估，不是每案都走相同程序。
依規定，永豐須在通報重大偶發事件次日起7個營業日內，函報調查內容、處理方式及改善措施，或後續處理情形。
至於多久能有結論、是否裁罰，林裕泰表示非其權責，須個案判斷。永豐如今承認遭駭，接下來仍得說清楚：供應商哪裡出問題，銀行哪些防線需要補強，以及如何確認同樣的事不會再來一次。
