臺灣證券交易所 文刊中心

＜English version＞

隨著數位科技的迅速發展，證券業的經營模式正在經歷一場前所未有的全面轉型。傳統的人工下單與實體分點服務，逐漸被電子交易平台、行動裝置下單所取代；這些新的技術雖然提升了交易效率與市場參與度，但也讓證券商面對更多元且複雜的網路威脅。證券交易過程中所涉及的身分驗證、交易指示與個人資料，一旦遭受攻擊，可能導致證券商龐大的財務損失與聲譽損害，甚至進而影響證券市場的穩定。

為此，各家證券商不斷地強化對資通安全的要求，除響應主管機關近年推動的「金融資安行動方案」1.0、2.0，以達成「建立重視資安的組織文化」、「提升資安治理能力與水準」及「確保系統持營運與資料安全」之目標，亦積極配合本公司之輔導，落實執行「建立證券商資通安全檢查機制」各項強化措施，例如進行弱點掃描、滲透測試及資通安全健診，累積厚實資安防護能力。然而，從近期案例觀察，即使具備基本資安防護，若缺乏整合性風險控管與即時應變能力，仍可能在攻擊事件中受創；因此，了解風險的所在，再配合反覆的演練，才能有效因應各種攻擊。

本文主要分析證券商面對的主要網路攻擊的來源，包含來自駭客組織、詐騙集團、內部人員疏失及第三方服務供應商資安漏洞的各類攻擊類型，並說明技術面、制度面與法遵面可採用的因應措施，另援引實際案例分析及說明本公司近年來推動資安防護的作業重點，以期提供證券商及資安相關人員參考。

證券商在數位化服務快速發展下，暴露於多種網路攻擊威脅中。根據過往資料統計及本文整理，證券商所面對的主要資安風險，大概可歸納為三大類型：網站與系統攻擊、身分與交易冒用攻擊，以及第三方服務供應商風險。這些攻擊可能導致服務中斷及資料外洩，進而破壞整體證券市場的穩定。

網站與系統攻擊

• DDoS攻擊：透過大量流量癱瘓券商網站與交易平台。駭客透過大量殭屍網路對交易網站或API伺服器發動流量攻擊，使合法用戶無法連線或操作下單。這類攻擊不僅癱瘓系統，也可能用作掩護其他滲透行為。2017年國內證券商集體遭DDoS攻擊，其最大攻擊流量達2～3Gbps，攻擊持續時間約20～60分鐘，導致多家券商交易平台服務受到影響；2024年9月國內有多家上市公司亦遭受DDoS攻擊，顯示這類阻斷攻擊影響各單位之服務仍層出不窮，因此系統可用性已成首要防禦要務。
• SQL Injection與XSS：利用網頁漏洞植入惡意指令，竊取或破壞資料；駭客透過輸入未過濾的SQL語句或JavaScript，入侵資料庫或竊取用戶身分憑證、交易紀錄等資訊。特別是用戶登入介面與下單模組，若未實施輸入驗證與WAF保護，容易成為攻擊目標。直至近期仍有為數眾多的系統遭受這類攻擊，辦理源碼檢測及弱點掃描能有效降低這一類的攻擊發生

身分與交易冒用攻擊

• 釣魚攻擊：偽造網站或訊息誘騙用戶輸入帳號密碼。駭客偽裝成券商發送簡訊或電子郵件，提供連結誘騙用戶輸入帳密與OTP。近期國際新聞揭露日本已有多起券商客戶遭假冒網站騙取帳號密碼，導致帳戶遭駭、股票被盜賣的情形，承接低價值或是流通性不佳的股票，拉抬價格並藉此賺取高額價差。此類攻擊無特定態樣，故難以完全防堵，惟可透過不斷宣導投資人留意此類詐騙情形，如本公司近期推動5D反詐行動「不接陌生來電、不點未知連結、不聽投資明牌、不怕莫名威脅、不給個人資料」，藉此提升全市場資安及防詐意識，降低投資人遭詐騙、釣魚之風險；另證券商亦透過異常態樣分析，偵測並防堵非本人申請交易憑證之情事。
• 中間人攻擊：在傳輸過程中攔截資料。在不安全或被偽造的網路環境中，攻擊者可攔截用戶與伺服器之間的資料傳輸，若缺乏TLS加密與伺服器憑證驗證機制，用戶帳號與交易資訊即可能外洩。
• 社交工程：誘導客戶或內部人員洩漏敏感資訊。駭客冒充客服人員、內部工程師，透過電話、Line或聊天機器人方式套取OTP、個資或引導下載惡意程式。此類攻擊往往搭配釣魚攻擊，來達到偽冒登入或交易。

第三方服務與供應鏈風險

• API介接風險：供應商未妥善驗證與加密傳輸。
• 委外服務供應商維運串接漏洞：委外服務供應商透過遠端連線進行維運，外部威脅自供應商滲入證券商內部環境。

案例一：2024 年 9 月國內某金控業者遭受DDoS攻擊

某金控旗下子公司等多個網站與服務曾出現連線不穩或當機現象，係因駭客組織對其金融平台發動 DDoS 攻擊，攻擊者以大量合法的網頁請求湧入相關網站，使伺服器耗盡處理資源。攻擊持續約莫數天，攻擊持續時間為數十分鐘到數小時不等，攻擊者透過殭屍網路(botnet)發起，藉由分散來源 IP，減低單一封鎖效果，增加防禦難度。經分析這類攻擊態樣，可知其阻斷方式是針對服務，已非過去單一式的攻擊，而是高度模仿正常瀏覽行為，需透過網站應用程式防火牆（WAF）並搭配行為辨識配合分析，始得辨別過濾此類攻擊。

案例二：2025年日本市場發生客戶證券帳戶遭盜用

據外媒揭露，日本發生大量網路證券商下之客戶證券帳戶遭未授權登入、非法下單的資安事件。駭客透過釣魚網站與社交工程，騙取用戶帳號密碼進行未授權交易。藉由網路釣魚手法，不斷翻新又搭配社交工程，讓投資人更容易受騙上當。經分析後，這類攻擊態樣唯有藉由偵測異常行為態樣，及發揮資安聯防，才能有效遏止這類攻擊的發生。

案例三：2024年國外市場某證券商API驗證不足導致交易異常

該證券商與第三方資產管理應用服務合作開放API，允許客戶直接從APP下單至證券商平台。某資安公司發現該API缺乏用戶端驗證與請求簽章，只要掌握API參數與基本帳號資訊，即可模擬合法請求發送買賣指令。該弱點被攻擊者濫用後導致部分用戶交易紀錄錯亂與帳戶餘額異常，券商緊急中止API服務並實施事件通報與內部稽核。此事件引發當地主管機關重視，修訂API介接安全準則，並建議所有證券商採用OAuth 2.0、JWT簽章與TLS加密通訊。此案凸顯第三方整合服務不應僅考量功能便利，亦須納入資安架構與驗證制度設計。

面對日益猖獗的資安威脅，證券商為有效降低威脅，必須整合技術、管理與法遵三大層面以建立完備的資安防禦體系。資安議題不再是單屬單一部門應負責業務，而是需要跨部門整合及納入整體營運風險管理。本章將從三個層面具體說明可行的防護策略與管理作法。

技術面

為應付層出不窮的攻擊手法，資安防護需建構縱深防禦(Defense in Depth)的架構，藉由結合多種不同的安全防禦機制，以阻絕不同類型的攻擊，即使其中一層無法順利攔阻，仍有其它輔助或備援方式接手攔阻，攻擊者必須逐一突破各項保護措施，才能成功入侵。

• 防火牆、IPS、WAF：防火牆可攔截未授權的存取行為，而入侵偵測與防禦系統則可主動分析流量、比對攻擊特徵，在異常事件發生前先行警示與阻擋。例如針對DDoS攻擊，券商可建置流量過濾與分流設備（如雲端清洗服務）作為前線防禦。WAF專門用於攔截SQL Injection、XSS與CSRF等情況Web應用層攻擊，適用於交易平台與開放API介面，亦可搭配日誌回溯與行為分析強化偵測效率。
• TLS/SSL 加密：所有交易、登入與查詢操作皆應強制使用HTTPS（TLS 1.2以上），以防範中間人攻擊與傳輸資料外洩。
• 憑證與PKI架構：確保投資人登入證券商網站時連接到正確伺服器，而非釣魚網站。
• MFA(多因子驗證強化身分保護)：除帳號密碼外，應加上OTP(一次性密碼)、MID(行動身分認證)或生物辨識等情況額外身分驗證因素，以降低偽冒風險。
• SOC(安全營運中心)與SIEM(安全資訊與事件管理)：即時監控異常行為與資安事件，透過集中監控、事件關聯分析與行為模型，能及早發現異常行為並回應。大型券商可採24/7資安監控與分層告警設計。
• EDR(端點防護系統)：目的在監控、偵測並回應端點設備（如桌機、筆電、行動裝置）上的可疑行為與潛在威脅。與傳統防毒軟體不同，EDR 強調持續監控、行為分析與即時回應能力，可在攻擊早期即偵測異常活動，並協助資安人員進行調查與應變。
• DLP(資料防外洩服務)：目的在防止敏感資料在未經授權的情況下被洩漏、誤傳或外洩至外部環境。DLP系統能夠識別、監控及保護機構內部的關鍵資料（如個人資料、財務資訊、營業機密等），並依據政策規則進行阻擋或警示，防止資料透過電子郵件、USB 裝置、雲端服務或其他傳輸管道外流。
• 零信任架構(Zero Trust)：不預設信任任何內外部裝置與帳號，所有內外網請求皆須驗證裝置、身分與行為，可使用區隔策略強化內部網路控管，減少橫向移動風險。
• 持續營運管理：透過備援、備份、BCP確保服務不中斷，系統毀損或遭受勒索病毒攻擊亦可快速復原。

管理面

單有技術及設備，但沒有良好的管理制度，可能會讓所有的機制無法有效運行，畢竟人員管理往往是所有防線裡面最重要的一個關鍵點，因此強化對證券商員工與客戶的資安治理效能，可以讓資安防護措施更有效運行。

• 最小權限原則：主機、應用程式之帳號及防火牆規則都應以最小權限原則進行配置，以避免遭受攻擊時輕易取得高權限帳號進行存取。
• 弱點掃描與滲透測試：定期檢測系統弱點，應針對Web、行動App、內部管理系統等情況多點實施自動化弱掃，並由外部團隊定期實施滲透模擬，協助找出未被察覺的安全漏洞。
• 教育訓練：強化員工與客戶的資安意識，例如可針對內部員工辦理釣魚郵件演練、社交工程測試與資安測驗，並針對客戶定期推播資訊安全宣導，提升整體資安文化。
• 資安應變演練與通報機制：資安事件通報機制：建立通報與應變流程，確保事件能即時處理與回報。
• 定期觀察異常行為：多IP使用單一帳號登入，或是單一特定IP使用多帳號登入應記錄並進行分析。
• 型塑組織重視資安的文化：設置資安相關權責主管，統籌資安政策推動協調與資源調度，並增納專業人員參與管理階層運作，實質將資安風險納入經營決策考量，以帶動重視資安的組織文化。

法規面

除了管理面及技術面的整合外，遵循法規的推動，更能讓資安防護的各項措施，達到更大的綜效。法規落實不僅只於合規性的遵守，而是整個業別聯防的整合。目前證券商應符合之資安相關規範，及本公司輔導證券商落實各項資安政策之推動重點，分述如下：

• 證券商應符合之資安相關規範：
  • 建立證券商資通安全檢查機制：為強化證券商整體資安防護能力，藉由識別關鍵資訊資產、定期評估潛在風險、強化帳號管理，與系統權限分級清楚，以防止未授權存取，並定期進行系統弱點掃描以快速修補已知漏洞。建置監控系統、及早偵測異常行為與可能攻擊，並落實資安事件通報，以確保事件能即時處理與回報，並強化資安聯防綜效。加強委外及供應鏈管理以有效降低外部威脅風險。提升員工資安意識，並定期進行內部稽核及辦理持續改善，以厚實組織整體資安防護。
  • 證券商網路安全防護自律規範：為強化證券商網路安全及資通安全所制定的一系列自律性規範。這些規範涵蓋了網路設備管理、網路安全防護、電子式交易安全、個人資料保護等多個方面，旨在確保證券商網路環境的安全，保護客戶的權益和個人資料，並提升證券市場的整體資通安全水準。
  • 證券商資通系統安全防護基準自律規範：為強化資通系統安全防護，以確保客戶資料和交易安全。此規範涵蓋了多個方面，包括帳號存取管控、身分驗證、電腦稽核、網路安全、資料保護、事件通報、系統與服務獲得及營運持續管理等方面，並要求證券商定期進行安全評估和漏洞修補。
  • 證券商資通系統與服務供應鏈風險管理自律規範：為強化證券商對資通系統之資訊服務供應商遴選、管理、終止與解除之風險管理。此規範涵蓋了合約簽訂、供應商評估、安全標準、應對資安事件與委外關係管理等多個面向。
  • 新興科技資通安全自律規範：為強化證券商應用新興科技時的資通安全管理，以確保客戶資料和交易安全。此規範涵蓋雲端服務、社群媒體安全控管、行動應用程式管理、物聯網設備安全、網路釣魚防範、客戶身分驗證及深度偽造之防範等，以降低新興科技帶來的風險。
  • 資訊作業韌性自律規範：為協助證券商在核心系統遭受中斷事故時，能有效執行應變措施，將損害降低至可承受範圍。這份規範涵蓋了資訊業韌性管理組織、營運衝擊分析、營運持續管理及營運持續計畫演練、備份備援機制、緊急應變措施、演練與訓練等方面。
• 本公司推動重點：依據主管機關近年訂定之各項強化資安政策，如金融資安行動方案、證券商作業委託他人處理應注意事項等，本公司配合並藉由以下面向輔導證券商落實各項資安政策推動，進而厚實證券市場整體資安防護能力，各面向說明如下：
  • 適時修訂及推動相關規範：訂定證券商分級防護應辦事項，並推動證券商導入ISO27001資訊安全系統等國際標準，強化證券商資安治理能力。
  • 輔導證券商遵循法規：本公司藉由年度例行查核及選案查核，輔導證券商落實資安法規要求，以達成強化資安監理的目的。
  • 落實資安通報及強化資安聯防：輔導證券商落實資安通報，可以在第一時間掌握攻擊情資並促進同業之間快速聯防，有效提升整體資安防護能力。
  • 深化資安教育與培訓：每年舉辦資安相關講習內容，提高業界資安意識與應變能力，另推動獎勵證券商從業人員參加ISO27001主導稽核課程，為證券商培育資安治理人才。
  • 零信任架構推動：本公司積極推動證券商導入金融零信任架構，並辦理多場說明會，鼓勵證券業者零信任導入過程，希望透過此架構提升證券市場的整體資安水平，確保業務的持續性和安全性。

面對日益嚴峻的資安挑戰與不斷演化的威脅手法，證券商應了解資安不僅只是作到合規，而是要提升營運韌性，故不僅需持續加強現有防禦措施，更應前瞻性地部署未來資安防線。

綜觀當前資本市場的資安發展，證券商作為其重要一員，無時不刻遭受各類網路攻擊。從釣魚詐騙到系統癱瘓、從API漏洞到供應鏈滲透，每一次資安事件不僅可能導致財務損失，更會侵蝕客戶信任、影響市場穩定，甚至觸及法規責任與品牌聲譽。
針對網路攻擊常見攻擊手法，本文僅提供證券商可參考建構之防禦機制、資安治理、法規遵循等作法，並就實際案例提供分析，及提出多項具體建議。建議證券商於資安防禦架構上，應建構多層次技術措施，管理上則強化組織治理與通報應變流程，以持續依循及落實國際標準與監理要求。
資安是一場永無止境的風險對抗戰，更是企業永續經營的基礎基石。證券商應以「資安零容忍」為核心理念，將重視資安的火種，納入組織文化與經營管理層面，並整合技術、管理、法遵三個面向，以期真正達到提供安全便利不中斷金融服務的永續目標。