※ [本文轉錄自 Gossiping 看板 #1Ui1ETFI ]
作者: stre1654 (青笠) 看板: Gossiping
標題: [新聞] 【全國盜領網1】官方繳費平台出包 無密碼
時間: Mon May 4 21:07:39 2020
1.媒體來源:
CTWANT
2.記者署名:
謝東明
3.完整新聞標題:
【全國盜領網1】官方繳費平台出包 無密碼免驗證挪用他人存款
【全國盜領網2】掌握身分證銀行帳號 別人幫你繳房貸
【全國盜領網3】手機就可登錄操作 存款遭清空都不知道
【全國盜領網4】銀行公會主導創建 涵蓋1800家企業繳費項目
4.完整新聞內文:
為了節省時間,也為了避免在公司、住家與銀行間四處奔波,許多民眾都會透過網路付費平台,繳交例如水費、電費、信用卡費、小孩學費,甚至銀行貸款等生活支出。
但由財金資訊公司營運的「全國繳費網」,卻爆出重大資安漏洞,只要有心人掌握了個人身分證字號與銀行帳號,就能在手指與滑鼠間游移,三十秒內無聲無息的讓帳戶存款乾坤大挪移。
現代宅經濟,讓網路線上交易機制成了生活不可或缺的一環。但服務項目超過一千八百家事業單位的「全國繳費網」,卻爆出重大資安危機。有讀者爆料,在「繳納貸款」的項目裏,填上自己的銀行帳戶號碼與繳款金額後,就算填上他人的身分證字號與銀行帳號,不須密碼不須驗證,也能輕鬆轉帳,盜領他人的存款。
由中華民國銀行公會主導,委託財金資訊公司,整合各金融機關與政府公用事業單位,設立的「全國繳費網」,原本是一個可以讓民眾,在任何時間、任何地點,就能繳納各項費用的線上帳單付款服務平台,各種生活支出,幾乎都能在網路平台上一指搞定。
本刊調查,儘管填寫資料時,欄目旁也有「使用活期性存款帳戶(不須讀卡機,且只能繳本人帳單)」的警語。但填寫完資料,儘管繳費方與轉帳方不一樣,帳戶裏的存款仍然成功被轉走,民眾帳戶款項轉出後,甚至也不會接獲銀行通知,在毫不知情下,存款就不見了,令人覺得十分驚悚。
便利民眾繳納各種生活支出的「全國繳費網」,可能已成為詐欺集團犯案的工具。本刊調查,其實今年已有案例,小君(化名)自爆,今年三月間接獲警方通知,銀行存款疑遭盜領,一度還以為是詐騙電話,但刷卡查證後,帳戶裏真的少了五萬元,讓她嚇了一跳。
警方深入追查,嫌犯是一名無業的二十六歲賴姓男子,透過他的銀行來往紀錄,發現竟還有另外一名被害人,也在三月間分三次被盜領了約十五萬餘元。賴男在警局供稱,盜領存款的方法,就是透過「全國繳費網」的「繳納貸款」欄目。而被害人存款被盜領了,甚至還不知不覺。
警方調查,賴嫌自稱在操作全國繳費網時,意外發現系統裏的「誤區」,在繳納貸款時,竟然可以透過他人的帳戶幫自己繳費。發現已成立近十六年的「全國繳費網」竟出現了資安漏洞。更在發現經營房仲業的哥哥,將客戶資料帶回家整理時,突然產生了犯案的念頭。
賴男趁機從中抄下多名客戶資料,再利用抄下的身分證字號和金融帳戶,替自己「還債」。食髓知味的賴男,深入「研究」後又發現,「全國繳費網」存在更大的資安漏洞,只要透過「繳納貸款」的選項,就能把他人的金融帳戶存款,隨意移轉到任何一個和「全國繳費網」合作的金融機構個人帳戶,即使不是貸款帳戶也可以。
所以,賴男除了偷走了小君的五萬元,也分三次「移出」了新北市林姓女子的十五萬元存款。目前警方已深入追查,是否還有其他被害人。
財金公司營運的「全國繳費網」爆發資安漏洞,本刊記者實測電腦版「全國繳費網」,真的只要掌握別人的身分證字號,就能利用別人的銀行帳號,轉走帳戶裏的錢。而且帳戶款項遭轉出後,也沒有接獲銀行通知,尤其,「全國繳費網」也有手機版,只要登錄就可操作,讓人覺得十分擔憂。
本刊記者實測,登入「全國繳費網」後,在繳納信用卡費或eTag國道電子收費儲值、停車費等項目時,填上非本人的帳號,都顯示「交易失敗」、「身分證字號或營利事業統一編號錯誤」的訊息。確實,只能繳交本人帳單。
不過,在「繳納貸款」項目裡,本刊記者先填上友人的銀行帳號與繳款金額,再到下一頁填上自己的身分證字號與銀行帳號,按下「確定送出」後,竟顯示出交易成功;本刊記者接著查驗彼此的銀行帳戶,確認交易成功,意謂著「全國繳費網」不須密碼驗證,就能無聲無息地把別人的存款轉到自己的帳戶償還貸款。
此外,本刊記者的帳戶款項遭轉出後,也沒有接獲銀行通知。螢幕上出現的繳款方式說明「使用活期性存款帳戶(不須讀卡機,且只能繳本人帳單)」,看來實在相當諷刺。
記者向財金公司求證,財金公司表示,已立即向接收非本人帳款的銀行進行瞭解並要求立刻改善,應該只是單一銀行電腦作業疏失,會通函金融機構檢視相關作業,以確保消費者權益。
財政部及公、民營金融機構共同出資,籌設的「財金資訊股份有限公司」,原本是財政部於西元一九八四年以任務編組方式,成立的「金融資訊規劃設計小組,到了一九九八年,報奉行政院核定,這才改制為公司組織。
「全國繳費網」則是西元二○○四年九月由銀行公會主導建置示範性網站,由財金公司負
責營運維修,可提供民眾即時網上繳費的跨行服務,到了二○一四年更推出手機APP,讓
民眾可以隨時隨地上網繳費。
財金公司目前有董事會十五席,代表中央銀行的公股就有十一席,民股則有四席,監察人則有五席,都由國內各銀行代表出任。包括自動化服務機器共用,也就是所謂的自動提款機,例如提款、繳費、轉帳、餘額查詢等跨行服務,行動支付「台灣pay」等,都是財金公司重要營運項目之一。
至於「全國繳費網」,原為由銀行公會主導建置的示範性網站,結合金融機構及事業單位,初期提供水、電、瓦斯等多項公共事業費用的上網繳費服務,二○○五年七月,「全國
繳費網」正式上線。之後,服務項目越來越多,到了二○一四年,推出手機版的「全國繳費網APP」,民眾可隨時隨地上網繳費。
財金資訊公司結合其他公用事業單位,整合自動化繳款通路,讓「全國繳費網」的服務範圍愈來愈廣,邁向即查、即繳、即銷的電子化服務。手機版上線後,民眾就可透過手機查詢應繳金額,立即進行繳費,而事業單位收到繳費成功通知時,也會馬上進行預銷作業。
「全國繳費網」至今服務項目,已有十二大項、三十八種費用項目,包括了三十二家金融機構的信用卡費、五家電信費、七家交通費、十一家公共事業費、二百零七家醫療費、三百一十四家學雜費等,超過了一千八百家事業單位的繳費項目,為國內最多樣化的繳費網站。
立委曾銘宗痛批,「全國繳費網」由財金資訊公司建構,又是中央銀行轉投資,如今出現那麼大的漏洞,真的非常可怕。「財金資訊公司的主管機關中央銀行與金管會,一定要徹底調查程式設計與推廣流程有無瑕疵,如果一切屬實,就要立刻彌補轉帳漏洞,增加驗證機制,也一定要究責。」
5.完整新聞連結 (或短網址):
https://www.ctwant.com/article/48972
https://www.ctwant.com/article/48973
https://www.ctwant.com/article/48974
https://www.ctwant.com/article/48975
6.備註:
今天資安新聞真多
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.243.44.174 (臺灣)
※ 文章網址: https://www.ptt.cc/Gossiping/M.1588597661.A.3D2
推 now99: 這個真的超扯,一堆人相信只能自己帳單扣自己帳戶 05/04 21:09
→ lunhsuan: 還好我銀行都沒錢(誤) 05/04 21:09
推 james732: 這個問題有點嚴重…… 05/04 21:09
→ ch333: 沉寂已久的IT高手 終於出手了 05/04 21:09
→ QBey: 系統連身分證都不對的 05/04 21:10
→ ECZEMA: 生化病毒因防中共而沒大泛濫 結果電腦病毒早就全台淪陷 05/04 21:10
推 mn435: 感覺像順便把所有的包壓力釋放 反正有中油在前面 05/04 21:10
推 cosmite: 太扯了吧 05/04 21:11
→ james732: 我之前還想說銀行帳戶公開沒關係除非有人想轉錢給我 05/04 21:11
→ ECZEMA: 生化病毒靠優秀國民防疫 電腦病毒卻一堆技術低落的網管?? 05/04 21:11
→ lyhorcish: 曾沒份? 05/04 21:11
推 purplebfly: 繳信用卡時的確要本人帳戶,所以會理解成繳貸也可以,但 05/04 21:12
→ purplebfly: 這遲早會被抓啊..貸款是誰的,不是一抓就知道了嗎? 05/04 21:12
推 fang314: 這太誇張了吧 05/04 21:12
推 snio2427: 扯 05/04 21:13
推 palapalanhu: 扯耶 05/04 21:13
推 aij: 這篇網軍就不敢來亂了。反正出包不是政府的包? 05/04 21:14
推 ymuit: 嗯嗯..不過推記者實驗得證 05/04 21:14
推 XXXXHAY: 誇張 05/04 21:15
推 FrankCastle: 完全沒聽過的東西= = 05/04 21:15
推 mmx9797: 查查看公司是不是設在台北市 05/04 21:15
推 xxxg00w0: 幹這三洨資安.......... 05/04 21:17
→ qaz12453: 網站可以做到別人的錢是我的 我的錢還是我的 真是厲害 05/04 21:19
→ jojomaan: 幹這太扯了吧,我有用過欸 05/04 21:19
推 intointo: 誇張 05/04 21:19
推 XXXXLINDA: 幹 05/04 21:21
→ XXXXLINDA: 幫高調 這個每個月繳費都要用耶 幹 05/04 21:21
推 WLR: J三小,做系統的直接拖出去算了 05/04 21:21
→ XXXXLINDA: 這個很有名啊 全國繳費網 政府推的 05/04 21:21
推 P7700: 政府這種水準還敢推數位身份證 可憐哪 05/04 21:22
推 siopp: 我試過繳信用卡是不行,結果貸款那有洞! 05/04 21:22
→ proletariat: 幹有這麼爛喔 我星期五才用這個繳稅的說 05/04 21:22
→ zxc90147: 人才 05/04 21:24
→ proletariat: 咦 好像不一樣 05/04 21:24
推 cp296633: 太靠北了吧 出這種包工程師可以切腹了 05/04 21:24
→ seeback: 哇塞貸款可以叫別人幫自己繳?我想貸款惹 05/04 21:25
推 MisuzuXD: 這好扯喔 幫高調 05/04 21:25
推 chucky: 這太糟糕了吧 05/04 21:25
→ cp296633: 還好林北以前網拍賣二手都走第三方虛擬帳號 05/04 21:25
推 duduchiau: 這有點可怕! 05/04 21:26
推 neo5277: 找人頭去代你線索就斷了啊 05/04 21:27
推 sos01030: 幹這太誇張了吧!!! 05/04 21:27
推 losage: 扯爆了。嚇死人 05/04 21:27
推 q14721472: 幹 太扯了吧 這無言耶 05/04 21:27
→ cp296633: 露天隨便去下標有銀行匯款的賣家 下標帳號就SHOW出來 05/04 21:28
推 jasop: 幫高調 我有用過... 05/04 21:29
推 flyslam: 這漏洞也太大了吧,笑死 05/04 21:29
推 fallen01: 這網站看就知道爛 05/04 21:30
推 ferttelle: 真的有扯 05/04 21:32
推 JMashburn: 誇張 05/04 21:32
推 eric112: 這個不是相同身分證字號的才能繳嗎 05/04 21:33
推 dtdon1699: 這也太扯 05/04 21:33
推 chister: 太扯 05/04 21:33
推 katyping: 靠 我剛才用這網站繳費..... 05/04 21:34
推 DUCK5369: 三小...... 05/04 21:34
推 seto1224: 友人後來有把錢還回去給記者嗎? 05/04 21:34
噓 rebuildModel: 幹,向長輩說這樣很安全,長輩根本不信結果是對的 05/04 21:36
推 feywen: 哪個智障寫的程式 05/04 21:36
→ rebuildModel: 該死的設計/開發/品檢,幹他x的 05/04 21:36
→ rebuildModel: 這天大的洞啊 05/04 21:36
推 A80211ab: 幹我常用耶 05/04 21:37
推 sharkimage: 很扯 05/04 21:37
推 sheng76314: 那也要你知道有錢人的帳號 05/04 21:38
推 sharkimage: 政府這種水準還敢推數位身份證+1 05/04 21:39
推 dnek: 這麼離譜的漏洞居然現在才發現 05/04 21:40
推 cash1019: 我國泰信用卡就是用這個繳,第一次我就覺得怪怪的,填完 05/04 21:40
→ cash1019: 身分證字號跟帳戶就繳款了..本來想用朋友帳戶去測試,後 05/04 21:40
→ cash1019: 來忘記了,看來真的連身分證字號都不能給別人了! 05/04 21:40
推 llzzyy01: 這也太扯 以後電子貨幣和支付誰敢用 05/04 21:40
推 MBAR: 好誇張… 05/04 21:41
推 chinhan1216: 還好吧 這也是因為個資被人知道才有事阿 05/04 21:41
推 Ilat: 所以就算沒用過這東西 被別人掌握身分證字號和銀行帳戶一樣 05/04 21:42
推 m18624331: 還是紙本帳單安全 到超商吹冷氣爽爽繳費 05/04 21:42
→ Ilat: 會被盜走錢嗎? 05/04 21:42
→ Puye: 真的扯 難怪有人會不信任 背後的安全性誰敢信 05/04 21:42
推 henrysu1625: 太誇張了ㄅ 05/04 21:43
→ Puye: 現在這個社會這麼多地方需要個資 誰知道什麼時候會流出 05/04 21:43
推 chinhan1216: 繳罰單好像也可以只用帳號+身分證就繳 05/04 21:43
噓 q14721472: 說還好的有事嗎? 想想上班就要提供帳戶+身分證 05/04 21:44
推 t81511270: 讚讚 沒被工程師發現的 BUG 05/04 21:44
→ lastroom: 會同時知道你的身分證字號跟帳戶的 不就你的就職公司 05/04 21:44
→ KJC1004: 這個當初架系統的工程師嫌疑超他媽大 還不快去找 05/04 21:44
→ jojomaan: 我用好幾年了,去年開始才轉手機支付,有夠爛的 05/04 21:44
推 Ilat: 身分證字號+銀行帳戶這點程度的個資很容易給其他人掌握吧 05/04 21:44
推 chichung: 靠邀 平常都在上面繳費耶 05/04 21:45
→ Puye: 只需要帳戶跟身分證號碼 簡單太多了 05/04 21:45
→ remprogress: 高調 扯爆了 05/04 21:45
推 lancelot123: 別人帳號還不簡單,隨便上個拍賣網站找賣家銀行帳號 05/04 21:45
→ jojomaan: 拍賣網站都有呀這兩組資料呀,然後拍賣網的個資 呵 05/04 21:45
→ lancelot123: 就好,難取得的是那個賣家的身分證字號 05/04 21:45
→ KJC1004: 一群北七以為要個資洩漏才會有事 媽的來個暴力嘗試所有ID 05/04 21:46
→ KJC1004: 組合全部一起被盜啦 05/04 21:46
推 yorurin: 幹有用過+1 啊不就還好我戶頭自己繳完就沒錢了哈哈哈... 05/04 21:46
→ yorurin: 嗚嗚嗚嗚 05/04 21:47
推 Ilat: 有些處理資料不嚴謹的公司 員工紙本資料隨便都往外丟 我就在 05/04 21:47
→ Ilat: 我家住辦社區垃圾回收的地方看到一疊員工資料被當廢紙回收 05/04 21:47
推 AGODFATHER: 太扯了吧 05/04 21:47
推 vovhsin: 之前測試過繳朋友的卡費,無法轉成功啊!莫非現在可以? 05/04 21:48
推 hyuchi0202: 不是都只能本人嗎 05/04 21:48
推 YeaPa: 真的扯,不過難得記者有實驗精神 05/04 21:48
推 Dulcia: 超可怕 05/04 21:48
推 tin989: 扯 05/04 21:48
噓 gundam0613: 幹太扯了吧 05/04 21:49
推 Ilat: 說不定寫個暴力組合機器人程式暴力嘗試就可以偷遍全台帳戶 05/04 21:49
推 huabandd: 不只全國繳費網 我也遇過其他系統不對身分證的 05/04 21:50
推 seeback: 罰單也可以嗎? 05/04 21:50
推 terminator3: 夠低調 05/04 21:52
→ terminator3: 低能 05/04 21:52
推 jupei: 幹 我都用這繳卡費 05/04 21:52
→ jupei: 是說盜領跟我們用不用這個沒關係 05/04 21:53
推 nosheep: 好誇張… 05/04 21:53
推 kurtsgm: ....這有點誇張 05/04 21:55
→ cp296633: 很多家網銀是可以繳別人的帳單 但是你要有帳密 05/04 21:55
→ jojomaan: 這水準還想購代收錢,噁心 05/04 21:55
→ cp296633: 這個連帳密都免了 只要身分證字號和存款帳號= = 不同人 05/04 21:55
噓 jiajia1: 哪家廠商太扯了吧 05/04 21:56
→ jojomaan: 我以後都用銀行繳了,不會再用這種平台 05/04 21:56
推 Oxhorn: 前不久才說要身分證和一些個資文件電子化 恩... 05/04 21:56
推 ndtoseooqd: 太址 05/04 21:57
推 anendfox: 幹這真的超扯 太爛了吧 05/04 22:00
推 g1254501: 馬維拉熱身中 05/04 22:00
推 ihfreud: 垃圾水準,工讀生負責 05/04 22:01
推 jazonleeb: 機關裡的出納 公司做薪水的 哈 05/04 22:03
推 blueminion: 超扯! 05/04 22:04
推 wucrhow: 說還好的一定以為那些資料很難拿 05/04 22:08
推 keyman2: 可...可惡,現在才知道還來得及嗎QQ 05/04 22:09
推 jang99: 太扯 這邊竟然沒被推爆 05/04 22:11
推 boyofwind: 財金公司到底查出原因跟修正漏洞了沒,那個回應令人 05/04 22:12
→ boyofwind: 不安倍增 05/04 22:12
推 eayterrr: 扯 05/04 22:13
推 aij: 我相信政府的平台欸,結果政府資安都是出這種包,太扯了 05/04 22:13
→ aij: 以後誰敢相信政府啊,幹 05/04 22:13
推 nrxadsl: 傻眼 05/04 22:15
推 sincere77: 顏色正確,政府幫你充值台灣信仰而已 05/04 22:16
推 aij: 沒有蟑螂敢推這篇,反而一直發文洗掉這篇 05/04 22:16
推 Burnamm: 這篇記者寫得不錯,資訊很完整~值得稱讚 05/04 22:18
推 sharkimage: 呼叫綠粉 05/04 22:18
推 teata: 政府的平台 呵呵 05/04 22:19
推 uco330: 發大財 $_$ 05/04 22:19
推 thenorth: 太可怕 05/04 22:23
推 aij: 這篇比蔡宜芳、衛生紙囤貨重要多了,結果沒啥人推 05/04 22:23
推 polestar0505: 扯爆 我找個人頭帳戶跟車手 就可以搞定一切了 05/04 22:23
我想詐騙集團應該很傻眼吧
何苦辛苦打電話、找車手去ATM領錢,用全國繳費網不是更快嗎
※ 編輯: stre1654 (118.169.90.139 臺灣), 05/04/2020 22:25:44
→ Human2003: 公家機關的資訊資安就是爛 年年花大錢維護更新 依然趕 05/04 22:25
→ Human2003: 不上時下的科技技術 05/04 22:25
推 wheateardoll: 真的假的,這太誇張了吧 05/04 22:25
推 MG61186: 扯 05/04 22:27
→ ssccg: 是說曾銘宗自己之前不就是金管會主委 05/04 22:27
推 evolution999: 扯 05/04 22:29
推 marksky: 可憐娜,應該被害人不少 05/04 22:29
推 Reflection11: 真的要高調..之前用這繳電話費就覺得很神奇 05/04 22:29
→ Reflection11: 想不到貸款還能直接轉別人戶頭的錢,而且那回應有 05/04 22:30
推 Aquariussoul: 05/04 22:31
→ Reflection11: 問題,怎可能是單一銀行電腦疏失,設計根本有問題 05/04 22:31
推 fdac: 推 05/04 22:31
→ Reflection11: 董事會15席應該都是安插肥貓,真的無言 05/04 22:32
財金公司可是擔下推動open banking(開放銀行)三階段的重責大任
還是說這是開放銀行的超前部署?
要推開放銀行,結果是這種資安水準....太可怕了
https://0rz.tw/0FK6Z
開放API服務第一階段提供「公開資料查詢」,內容以非交易面金融資訊為主,舉凡台外幣存款利率、外幣匯率、分行及ATM據點、理財商品、信用卡等貸款產品資訊皆包含在內,並持續規劃第二階段「消費者資訊查詢」與第三階段「交易面資訊」,制定符合銀行實務及產業需求相關技術與資安標準,強化開放API機制,期能提供更多元的普惠及便民服務。
※ 編輯: stre1654 (118.169.90.139 臺灣), 05/04/2020 22:34:57
推 a0356482: 怕爆 05/04 22:33
推 elvensword: 怕 05/04 22:34
推 mojia: 金管會到底在做什麼? 養肥貓都不用做事嗎? 05/04 22:34
推 leoz69927: 超扯有身分證字號跟銀行帳號裡面餘額無限轉帳 05/04 22:34
推 CriminalCAO: 還好從來沒用過 05/04 22:35
※ 編輯: stre1654 (118.169.90.139 臺灣), 05/04/2020 22:35:42
→ leoz69927: 詐騙集團還要去詐騙這個去買個資就好了 05/04 22:35
推 paulabxz123: 很會找網軍 怎麼不會補網路上的洞 05/04 22:36
推 evolution999: 應該轉貼一些熱門看板高調一下 05/04 22:36
→ leoz69927: 你沒用過也是會被盜轉喔去買銀行盜賣的個資幫你轉帳 05/04 22:36
推 ShadowEagle: 高調 05/04 22:36