2026年11月13日,金管會召開全體金融業資安長會議,發布資安強化措施,聚焦AI攻擊與代理AI安全。副主委莊琇媛在會中表示,金融業需正視AI技術被用於攻擊的風險,強化防禦與應變能力。這不是遙遠的技術討論,而是與每個人的存款、交易、個資息息相關的現實議題。
攻防賽局的時間差,正在消失
過去,當軟體出現漏洞,企業通常還有一段修補時間——從漏洞被發現,到駭客真正利用它發動攻擊之間,存在一段緩衝期。但隨著AI技術的進步,這段時間正在急劇縮短。
根據研究案例,特定AI模型在實驗環境下,可於12至31分鐘內針對部分漏洞產生概念驗證攻擊。換句話說,攻擊者更新「武器庫」的速度,可能比企業部署防禦的速度還快。當修補的時間窗口越來越窄,金融業必須重新思考:如何在有限時間內,精準辨識最致命的破口,優先處理那些「對外曝險」、「已遭利用」、「可自動化執行」或「可取得控制權」的漏洞。
金管會因此要求金融機構加速掌握外部曝險與重大弱點處置,運用軟體物料清單(SBOM)等方式掌握重要軟體元件與版本。面對海量湧入的漏洞通報,IT部門必須建立優先排序機制,而非被動應付每一則警報。
六大強化方向:從技術到治理的全面升級
這次金管會提出的「六大資安強化方向」,涵蓋技術面與管理面,要求金融業從董事會到基層落實資安治理:
1. 掌握外部曝險及漏洞處置
不再允許「頭痛醫頭」式的被動修補。金融業必須建立動態風險管理機制,掌握API、管理介面及第三方維運入口的外部曝險,優先處理重大弱點。
2. 強化資料與高風險存取控管
高權限帳號、API串接、委外遠端連線等高風險存取點,是駭客最常鎖定的目標。金管會要求加強這些環節的控管,落實委外系統權限與安全設定檢核,降低未經授權存取的風險。
3. 軟體安全開發與防禦性AI
金管會提醒金融業評估AI攻擊與代理AI風險,強化防禦及應變能力。在風險可控的前提下,金融業可考慮運用AI技術進行威脅偵測與分析——用技術對抗技術,而非被動挨打。
4. 善用情資分享機制
透過金融資安資訊分享與分析中心(F-ISAC)等平台,讓各家金融機構分享情資,加強共同供應商、雲端服務及重要軟體的風險管理,提升協同應處能力。當威脅資訊能即時流通,整個產業的防護網才能更緊密。
5. 確保關鍵服務運作與復原
金管會要求金融機構依風險辦理情境演練,透過持續監控、定期檢測及演練,驗證防護與應變措施成效。目的是確保:即使遭受攻擊或系統中斷,關鍵服務仍能迅速復原,客戶的交易與帳務不會因此停擺。
6. 強化董事會與高階資安治理
資安不再只是IT部門的事。董事會必須明確界定風險承受度,並配置足夠的人力與預算。這一條,要求高階管理層將資安視為核心業務風險,而非技術部門的例行工作。
挑戰:防護成本與供應鏈的最弱環節
然而,資安強化措施的落實並非沒有挑戰。大型金控或許有資源導入進階防禦技術與AI輔助偵測,但中小型金融機構、基層委外供應商能否跟上,仍是未知數。當防護成本高到只有少數頭部企業負擔得起時,整個金融生態系的安全鏈條,就只會跟最弱的那一環一樣脆弱。
金管會因此特別強調供應商風險管理與情資分享的重要性。透過F-ISAC等平台,金融業可共同掌握供應鏈風險,避免駭客從較脆弱的環節突破,進而影響整個金融體系。
你可以做的五件事
即使金融機構持續強化資安防護,使用者本身的資安意識與行為,仍是帳戶安全的關鍵環節。以下是您可立即採取的措施:
- 啟用多因素驗證(MFA):在網路銀行、行動銀行等服務中,開啟簡訊驗證碼、生物辨識或驗證App等第二層防護。
- 使用獨立且不重複的密碼:每個帳戶使用不同密碼,並定期更換;可善用密碼管理工具協助記憶。
- 開啟交易通知:設定帳戶異動、大額轉帳等即時通知,以便第一時間發現異常。
- 不點擊可疑簡訊或郵件連結:詐騙簡訊、釣魚郵件是常見攻擊手法;有疑慮時,直接聯繫金融機構客服確認。
- 定期檢查帳戶交易紀錄:養成定期查看帳戶明細的習慣,及早發現未授權交易。
韌性,是金融服務的底氣
莊琇媛副主委在會中強調:「資安韌性不只在於降低資安事件發生機率,更重要的是金融機構能否及早發現異常、迅速控制損害,並維持關鍵金融服務運作。」
在AI技術日益普及的時代,你的帳戶安全,取決於使用者的密碼與多因素驗證、金融機構的身分驗證與交易監控、漏洞管理、事件應變,以及詐騙防制措施等多重防線。金管會此次提出的六大資安強化方向,正是要求金融業建立從預防、偵測、應變到復原的完整韌性——確保即使面對新型態攻擊,服務仍能穩定運作,客戶的信賴不會因此動搖。
