台新網銀詐騙案:OTP認證簡訊騙走40萬,受害者詳述事發經過
我們想讓你知道的是
我私訊Asa請教詳細事發過程,經當事人確認且同意公開,讓更多人可以了解詐騙套路。並附上簡單自保之道,以及銀行該如何保護客戶的一些建議。
去(2020)年12月,我曾分析駭客可能利用哪些手法盜轉網銀存款,沒想到類似的簡訊詐騙在今年春節前又再度出現。詐騙集團大量發送簡訊,偽裝成台新銀行通知客戶網銀APP更新,誘使受害人點擊連結輸入網銀帳號密碼,進而盜走存款。
一般人若遭到詐騙,為了面子通常會低調處理,但此案受害人之一Asa Chen卻選擇在臉書上描述慘痛經歷,希望不要有人再因此上當。
我十分欽佩Asa為了保護其他民眾而勇敢公開分享的行徑,因此私訊她請教詳細事發過程,經當事人確認且同意公開,讓更多人可以了解詐騙套路。並附上簡單自保之道,以及銀行該如何保護客戶的一些建議。
詳細事發經過
儘管媒體已報導,但內容與實際發生狀況仍有些許落差,因此先來看看此次詐騙發生的經過。
2月5日晚上六點多,Asa收到詐騙簡訊,內容提到台新網銀版本更新所以要求立即上網驗證身分,同時附上驗證網址。點下連結打開看似台新的釣魚網頁,Asa輸入了身分證、網銀帳號、密碼,並按下送出。這組登入網銀的資訊,就在此時傳送了給詐騙集團設置的伺服器。
能夠登入網銀只是整個計畫的第一步,接下來的重點在於如何把錢轉出來。如果隨便找一台手機,即使用Asa帳號登入網銀,也只能進行「約定轉帳」,意即錢只能轉給Asa事先約定好的帳戶。因此,若要將錢轉至詐騙集團人頭戶,勢必得啟用「非約定轉帳」功能。
由此份台新官方說明可看出,只要把做案用手機變成「信任裝置」,就可以執行非約定轉帳;而其中一種方式,是由台新發送「啟用密碼」簡訊認證。詐騙集團只要取得「啟用密碼」,並且在做案用手機輸入,將手機變身為信任裝置,即可為所欲為,堪稱「得密碼者得天下」。
問題是,這個啟用密碼只會被傳到Asa當初留給台新的手機,而且10分鐘內未輸入立即失效,詐騙集團該如何拿到?
最重要也最困難的這一步,詐騙集團巧妙善用了前面的釣魚網頁,搭配現今最流行的OTP認證模式(透過簡訊或電郵傳送的一次性密碼)。Asa送出帳號密碼後,釣魚網頁跳轉到下一頁,要求輸入簡訊認證碼確認身分。此時,詐騙集團趕緊利用Asa帳號登入網銀、申請裝置認證,台新也確實發出「啟用密碼」簡訊到Asa手機。
若你是Asa,網頁只差輸入簡訊密碼就完成,而剛好又傳來一封附有OTP的簡訊,是不是很直覺會把密碼輸入網頁了?能夠分辨這個簡訊密碼是「綁定裝置用」的客戶有多少?
一旦詐騙集團綁定手機,後面轉帳給人頭戶的過程就不需贅述。根據規定,非約定轉帳每筆上限5萬、每日上限10萬、每月上限20萬。由於Asa有兩個帳號,加上詐騙集團又在半夜跨日前後轉帳,因此最多可轉出40萬(兩帳號 x 每日10萬 x 2日)。
不懂科技的民眾也能自保嗎?
與Asa溝通過程中,不難發現多數人認為自己會上當的主要原因,是因為不懂資訊科技。其實此類詐騙並未使用高深手法或先進駭客工具,而是採用最經典的「社交工程」,攻擊脆弱的人心。
因此,民眾若要避開此類詐騙,要加強的不是計算機概論,也不用成為資安專家,而是掌握一個最基本的原則 ──不管是熟人還是陌生人、不管是哪種方式傳來的訊息(簡訊、電子郵件、Line、FB、IG等),只要內容附上網址,而且點開後要求輸入帳號密碼或下載安裝程式,內心的警報器一定要大聲作響,告訴自己「這極有可能是釣魚簡訊!」
假使不放心或很想知道真相,也絕對不要貪圖方便而點擊訊息內的網址,應該另外打開官方APP,或是自己連線到官方網站。以此案為例,若Asa真的怕網銀被停用,應該做的是打開台新APP或用Google搜尋台新官網,然後登入驗證。當然,登入以後就會發現根本沒有強迫重新驗證這回事。
另外,由於釣魚訊息會隨著時事而不斷進化,我們的最佳對策除了絕不點開以外,還可以加上一點想像力,把「網路」上發生的事情搬到「馬路」類比,大概就能提高「防詐免疫力」了。
比如說,當你走在街上,一位路人走過來搭訕,說他是台新銀行行員,因為某某分行要改裝了,必須請你立即提供存摺跟印章,確認你還是活躍的客戶,未來才能繼續使用銀行的服務,否則就要凍結你的帳戶。試問,你會不會把存摺跟印章給他呢?
我想正常人聽到這種奇葩理由,應該都不會交出來吧。那為什麼類似的情境發生在網路上,不少人卻願意提供帳號密碼呢?
銀行能否更積極保護客戶?
當然,若客戶沒有把身分證字號、帳密跟綁定信任裝置的啟用密碼交出,詐騙集團也無法成功盜走存款,客戶自然得負最大的責任。不過,銀行因為擔心被金管會罰、擔心被客戶告得負賠償責任,而於事發後說明早已於網頁或網銀使用條約提醒客戶提高警覺、網銀的安全控管符合規定等,只會讓客戶感到到「卸責優先」,而非積極協助的態度。
去年在美國大通銀行開戶後,年底收到了一封警示郵件,內容是銀行發現我的部分個資已經在暗網(駭客的黑市)被販賣。收到這封郵件的當下,除了訝異原來美國個資也會這麼快被賣掉以外,對於美國銀行的主動積極留下十分深刻的印象。
在網銀被盜頻傳的現在,台灣的銀行絕對可以採取更主動的作為,積極保護客戶權益:
- 以詐騙角度重新設計流程:思考「綁定信任裝置」或其他「便民科技措施」,在釣魚簡訊或其他類似詐騙手法中,會如何被詐騙集團濫用,並且重新設計整體流程,在「安全」與「便民」中取得平衡。
- 搶先註冊可能被濫用的類似網址:此次詐騙集團使用的釣魚網站是www.taishinz.com,乍看之下很難發現是假網址。因此銀行可以搶先詐騙集團一步,註冊那些容易被假冒的網址。像是知名火鍋店「海底撈」註冊「池底撈、淮底撈、海底LAO、三每底手勞」等177個商標,「珍煮丹」加碼註冊「珍煮母」等,都是類似的概念。
- 異常行為監控:當使用者行為與平日截然不同,或是發現行為模式與之前被詐客戶的異常行為類似時(如長假前周末夜晚綁定信任裝置),可改用其他方式(如真人電訪或機器語音確認)再次與使用者確認。
- 關注國內外銀行詐騙案例:由於疫情關係,美國不少銀行鼓勵年長者多多使用網路銀行,也讓詐騙集團有機可趁,美國退休人員協會(AARP)去年也撰文提醒會員小心釣魚簡訊詐騙。而在台新簡訊詐騙之前,已有國泰的案例;而台新之後,近日又出現假冒中國信託的簡訊。其他尚未出事銀行,應該立即檢視自己的系統與流程設計。
詐騙不死,只是變形
保護好自己重要的帳號密碼,是民眾最基本的責任,不懂電腦不了解資安並不能當作藉口,只要掌握不隨意點擊連結、不輸入帳密或重要個資、不下載安裝程式的基本原則,就能趨吉避凶。
銀行能做的不只是打官腔和事發後被動提醒客戶,如何搶先詐騙集團、駭客與民眾好幾步,提前做好防詐布局,才是真正「客戶至上」的貼心服務。
- 若想了解更多,歡迎前往我的部落格破弊修練手冊
責任編輯:朱家儀
核稿編輯:翁世航
「無論距離多遠,每一個有需要的孩子,我都不會放棄」——將早療知識種在你我心上,期待開花在友善共融環境中
我們想讓你知道的是
一直以來,伊甸都希望可以透過與當地社區的連結及宣傳,來推廣早期教育的概念,並擴大早療服務的範圍。但是,如何打破地理和心理上的限制,真正幫助到需要幫助的孩子和家庭,對於伊甸來說,是推動偏鄉早療的一大挑戰。
在偏遠地區,由於資源的缺乏和家庭功能的不足,常導致人們對兒童發展的意識和知識有限,因而使得許多發展遲緩的孩子,延誤了早療的最佳時機。正因為如此,伊甸很早就意識到,偏鄉地區需要更積極、更有感的早療服務介入。
一直以來,伊甸都希望可以透過與當地社區的連結及宣傳,來推廣早期教育的概念,並擴大早療服務的範圍。但是,如何打破地理和心理上的限制,真正幫助到需要幫助的孩子和家庭,對於伊甸來說,是推動偏鄉早療的一大挑戰。
人在哪裡,愛就在哪裡
早期療育對於發展遲緩,或有特殊需求的兒童非常重要,因為越是及早發現問題,越能早期介入,透過專業的課程設計,幫助孩子在最關鍵的發展階段獲得必要的支持與學習,改善長期發展成果,更進一步有機會追上同齡兒童的發展腳步。而家長對早療服務的認識和接受度,就成了早療能不能有效施行的關鍵。
根據全球資料庫網站NUMBEO指出,台灣的全球醫療照護指數(Health Care Index)連續五年蟬聯世界第一,足以證明台灣的醫療水準具有國際一流的品質。但是這樣進步的醫療服務,卻不見得能夠讓全台灣每一位有需要的人,雨露均霑的共享。最主要的問題,來自於地理上的限制。以地理位置和交通條件來看,台灣目前還存在著許多偏遠的鄉村區域,這些地方不僅難以出入,而且各種醫療、人力資源也相對有限。因此許多家庭可能有早療方面的需求,卻因為沒有相關資訊、不知道可以求援,或者無法負擔長時間的交通往返有需求,而造成耽誤。
伊甸推動早療服務的三十年來,對這樣的狀況有深刻的感受,伊甸宜蘭社區服務中心的江主任說:「宜蘭算是一個地形比較狹長的區域,還有很多山,但是我們只有三間醫院,如果是南澳或者大同鄉這些比較偏遠的地方,要到羅東這裡來看醫生,單程可能就是要一個小時以上,對於一些家庭來說,他們很難負擔這樣的移動。」因此,走入社區、在偏鄉地區成立據點,宣導對於推廣早療服務,就成為伊甸的重點工作之一。
「雖然這樣真的是蠻辛苦的,但這幾年我們也漸漸看到了成果。當我們慢慢跟社區變熟,社區中比較熱心的里長、總幹事,甚至是一般長輩,也會願意幫我們推廣活動,提高大家的參與度。而且最重要的是,有些家庭的孩子,真的因為早療的介入,狀況得到改善,鄉里之間就會開始覺得比較有信心,會把伊甸的早療服務主動推薦給有需要的家庭。」江主任說。走入偏鄉,提供早療的服務和知識,讓一個遲緩兒家庭的未來擁有更多可能性,這樣的伊甸,就是今年四歲的阿勝和阿勝媽媽認識的伊甸。
再微小的進步,都是慢飛家庭的一大勝利
阿勝今年四歲,來自宜蘭縣蘇澳鎮,他的主要照顧者是身為家庭主婦的媽媽。去年4月,阿勝在蘇澳衛生所打疫苗時被發現有異樣,因為他有明顯的斜視,且不太與人互動,後來被通報轉介到伊甸基金會,開始接受到宅療育服務。
「我一開始有覺得阿勝好像比較慢,別的同齡的小孩都會的事情,他怎麼好像都還不會,但是鄰居長輩都說,這叫做大雞晚啼,很正常,再大一點就會好了,所以我就一直沒有特別去想阿勝是不是有什麼問題。」阿勝媽媽說。再加上阿勝出生的時候,正逢covid-19的疫情期間,擔心孩子受到感染的阿勝媽媽,幾乎是足不出戶,阿勝媽媽回憶起當時的情況:「我覺得這可能也是有影響,阿勝受到的外界刺激真的很少,所以發展就更慢。」在醫生確認阿勝有發育遲緩的問題之後,阿勝媽媽便開始帶著阿勝到醫院上早療課程,然後再進一步接觸到伊甸的到宅療育服務。
阿勝媽媽說,「教保老師都有跟我討論,看阿勝最需要的是什麼,我覺得最重要的是要能夠有生活自理的能力,像是自己握著湯匙吃東西,或者穿脫衣服上廁所這類。老師就幫阿勝設計可以練習這些能力的課程,每個禮拜來上課一次,平時就是我陪阿勝練習。」除了家長的需求之外,教保老師在設計課程時,還另外加入了認知能力和社交技能的相關內容:「因為在剛接觸到阿勝的時候,有發現他比較沒有辦法很好的表達自己,當他沒辦法跟媽媽溝通,就會造成他的挫折,情緒爆發,對媽媽和阿勝來說都是傷害。」教保老師在觀察過阿勝的情況之後,他認為可以透過玩具和繪本,來幫助阿勝提升認知能力和口語表達技巧,並且學習如何穩定情緒,更有效地與人互動。
經過一年左右的練習,阿勝現在可以自己握著扶把上下樓梯,「他還學會用吸管喝飲料了,之前還有一天,他自己把褲子穿起來,這些事情以前他是完全不想學也做不到的,所以當我發現他做到的時候,真的覺得好感動,好驚喜!」除此之外,阿勝在認知和表達方面也很有進步,現在能稍微理解大人的指令,並在引導下與人對視,也因為這樣的進步,阿勝在情緒管理上也變得穩定得多。
「我現在就是到哪裡都帶著阿勝去,去市場、去海邊走走、去公園玩,讓他多多接受刺激,老師也說這樣對阿勝比較好,畢竟之後要上幼兒園、上小學,我不奢求他變得多厲害,只要他能照顧自己、融入團體,對我來說就夠了。」阿勝媽媽的願望,也是許多遲緩兒家長的願望,而這樣的願望要達成其實不難——只需要我們每個人,都多一點對遲緩兒的認識、同理,就更容易達成。
用愛的行動,打造一個共融友善的早療環境
台灣從九零年代開始有了早期療育概念,近年來也受到越來越多的關注和重視。政府早已開始推動早期療育的相關政策和措施,並在許多單位積極提供相關的專業培訓、設施和人員,包括醫院、幼兒園或特殊教育學校。但是,慢飛的孩子,終有一天要融入社會,伊甸希望能夠為遲緩兒和家庭,鋪一條更長更穩的路,也就是讓早期療育的觀念,從有需要的家庭,拓展到社區中,推動社區的共融共好,讓家庭與社區、社會共同進步。
為了推動共融友善,伊甸提供社區適應的課程,包括拜訪鄰近的小學或幼稚園,讓學生們體會遲緩兒或身心障礙者的生活樣態。伊甸也為遲緩兒及家庭準備了一連串的轉銜課程,除了協助孩子們和家長提早適應即將到來的幼稚園或者小學生活之外,也會事先與學校老師溝通,幫助雙方都做好準備。更重要的是,伊甸也為遲緩兒及家庭連結各種社區或社會的資源,在每一個階段都能夠更好的拉遲緩兒一把,順利平安前行。
伊甸長年投入孩童早期療育工作,依孩子不同的需求及成長進度,提供多元的療育服務,協助孩子解鎖成長任務,順利長大。同時,伊甸早療服務也為家長提供照顧技巧,帶領他們了解孩子的遲緩狀況及需求,並將療育融入日常生活,為孩子增加學習刺激。伊甸投入早期療育服務即將屆滿30年,這些年來,早療服務的方法和觀念不斷進步,而伊甸付出的用心則始終如一——用愛陪伴一個孩子,守護一整個家,攜手共創友善共融環境!
30年來,伊甸基金會早期療育服務,透過多元適切的專業服務,不僅幫助慢飛天使探索學習,更是慢飛家庭的最大後援。請支持伊甸「早療30 弱勢兒童服務計畫」,多一點微笑、多一些行動,就能陪慢飛天使和家庭多走一哩路!詳情請上伊甸官網線上捐款 ,或洽捐款專線0800-025-885。