全支付测试环境Admin帐号密码外泄，骇客在深网论坛兜售，全支付第一时间已经掌握情资，并厘清此次外泄帐密来自商户个人电脑遭骇，并非后台系统遭骇。
近日，资安界盛传有骇客在深网兜售全支付测试环境的管理者（Admin）帐号密码资料，引发外界对全支付资安防护的关注。对此，本报独家采访全支付公司，其高层首次揭露事件调查结果与应对措施。
全支付表示，他们已在第一时间掌握相关情资并取得外泄内容，经过深入分析，判定此次事件并非其后台系统本身遭骇，而是起因于「少数合作商户的个人电脑遭到骇客入侵」，骇客进而取得其电脑中留存的测试环境登入凭证。
全支付强调，尽管部分测试环境资料外泄，但其主要金流服务及使用者（消费者）权益并未受到实质影响。
骇客深网兜售测试环境帐密，全支付第一时间掌握情资并启动调查
根据本报取得的情报，资安专家发现骇客在深网上贩售全支付测试环境的Admin帐密资料，数量多达近30组全支付商户帐号密码，甚至包含可能与管理帐户相关的资讯。
全支付指出，该公司资安监控机制已于7月1日一早便通报此事，显示其对资安情资具有即时掌握能力。为厘清真相，全支付更设法取得骇客手中情资，并进行全面清查。
全支付澄清，资安漏洞源于商户端而非内部系统遭骇
对于外界可能将矛头指向全支付内部系统的疑虑，全支付严正澄清，此次资料泄漏的源头「并非全支付的后台系统遭骇」。
全支付说明，骇客是透过入侵「商户的个人电脑」取得登入资讯。举例而言，骇客可能连结到某个合作商户的电脑，窃取其浏览器中储存的所有网站帐密（如Cookie资料），进而得知该商户曾登入全支付的测试环境后台，再循线登入查看内部资料。
全支付强调，骇客进入的是「某个个人的电脑环境」，而不是直接入侵全支付的测试环境。尽管如此，此次爆料的资安专家也提醒，测试环境与正式环境在「商业逻辑」及「金流加解密」部分仍有相似之处，潜在风险不容小觑。
此事件也凸显了骇客攻击手法日益多样化，不再仅限于直接攻破企业主机，转而利用终端使用者资安意识不足的弱点进行突破。
落实资安分级管理，金流安全防线更严密
全支付进一步说明其资安防护策略，针对不同环境有不同层级的保护措施，并强调，凡涉及金流的安全防护措施，将采取更严密的措施。
全支付指出，此次外泄的测试后台是「开放给一般商户测试使用」的，其本质上「不会锁来源IP」。主要考量是许多商户，特别是个人户，其家用网路IP地址很多是动态IP，若强制锁定IP将不符使用弹性，因此无法做到全面的限制来源IP。
相较之下，全支付的内部系统则有严格的IP锁定机制。全支付表示，该公司的内部系统，不能从外部IP去连线，仅限从公司内部网路及公司自有电脑连线；所有内部电脑均须符合金管会要求的资安强度标准，包括EDR（端点侦测与回应）、防毒软体及各种资安侦测机制，以确保内部营运的安全性。
全支付强调，其系统对密码复杂度有基本要求。但在调查外泄资料时，他们赫然发现，有用户的「所有平台的帐密都是同一组」，这凸显了部分商户乃至一般民众在资安意识上的不足，极易成为骇客利用的目标。
全支付指出，帐号密码设定与使用方式，这是一个值得深思的议题，这也反映出，科技与数位工具的使用度虽高，但民众的资安意识仍待加强，「这也是普遍存在于各行业的挑战。」全支付说道。
资安专家曾质疑，全支付是否未进行红队演练或渗透测试，导致UAT（使用者验收测试）环境容易受骇。
全支付则对此回应，都有定期该相关该做的资安防护，也委托外部资安业者进行相关的渗透测试与红队演练，全支付也说，这些资安作为也都是被主管机关要求的必要程序，目的就是要确保系统稳定性与防御能力。
全支付认为，此次资安事件因属商户的个人电脑受骇，与这些系统层级的演练「没有绝对性的关系」，其本质更接近于社交工程或个人终端安全问题。
确保商户金流与消费者权益，安全无虞
此外，资安专家也质疑，全支付在测试环境中是否缺乏多因素认证（MFA）的保护，导致即使帐密被窃，骇客仍能轻易登入。
对此，全支付承认，商户使用的测试平台因「机密等级较低」，确实「没有做到多因素认证。」全支付以银行网银为例，解释其MFA策略。使用者登入网银，往往只需要帐号密码就可以；但是当使用者要进行其他的拨款、交易，或者是提领的时候，则会强制使用双因素认证。
全支付表示，这样的作法，意味著在「不同的功能机制面」上会采取「不同强度层级的保护」。
对于全支付的商户后台而言，其功能如同网银的初步登入，仅能「登入看资讯内容」，例如查看拨款或帐务资料；若是要进行相关金流交易资料变更，例如提领或转帐行为，则不能线上作业，必须走另外的申请流程才能变更，确保金流的绝对安全。
全支付指出，这种分层防护的设计，目的在于平衡便利性与安全性，将最高强度的验证，集中在涉及金钱交易的关键环节。
全支付强调，针对消费者会受影响的机制，或内部员工从远端连回公司等高风险环节，均已实施MFA。
全支付也坦言，虽然可以设定更严谨的MFA方式，但关键仍在于如何教育合作商户，让他们主动使用双因素验证或其他安全措施，这是一个需要持续推广和强化的环节。
全支付再三强调，此次事件对商户的「金流安全性是不受影响的」。由于商户更改拨款帐户等关键金流资讯，均需要独立的线下申请流程，而非仅凭帐密即可变更，因此即使骇客取得测试环境的帐密，也无法直接动摇商户的资金安全。
至于广大全支付使用者（消费者），由于他们根本无法进入后台，其权益完全不受影响，无须担忧个人资料或金钱安全问题。
主动通知高风险商户，强化资安意识是业界一大挑战
全支付表示，针对此次事件中可能受影响的商户名单，他们已进行复查，并将主动通知这些商户「电脑可能有风险」，建议他们进行变更密码，以防范于未然。全支付也坦言，许多合作伙伴可能根本不知道自己的电脑已被入侵，因此及时的风险提示至关重要。
此次事件也让全支付意识到，如何教育这些合作伙伴，提升其资安意识是当务之急。全支付表示，他们会将商户的权限「设得很严谨」，并限制其在网路上能做的行为，只要是「跟金流相关的东西要做变更」，就「只能走一般程序」，不能透过线上系统直接变更，以此从制度面降低潜在风险。
全支付指出，这类商户帐密外泄事件并非全支付独有，他们在调查过程中发现，骇客在深网兜售的论坛平台上，还有许多「其他业者的商户帐密都在上面」。这反映出一个普遍的业界问题，随著科技发展与数位化普及，一般民众的「资安意识」往往不够。
全支付表示，有许多用户习惯在多个平台使用同一组帐号密码，或是忽略个人电脑的基本资安防护，这些作为都为骇客创造了可乘之机。全支付将持续观察并思考，如何更有效地提升合作伙伴及社会大众的资安素养，共同强化数位金融的安全防线，「这将是一个长期且艰巨的任务。」全支付说道。
此次全支付测试环境帐密外泄事件，虽经全支付澄清，祸源在商户个人电脑遭骇，且声明金流及消费者权益未受实质影响，但仍为业界敲响警钟。
它不仅凸显了个人资安防护的重要性，更提醒金融服务业者在推动数位化的同时，需持续强化对合作伙伴的资安教育与权限管理，共同应对日益复杂的网路攻击挑战。
全支付此次及早掌握相关情资，并主动调查与通知受骇商户，积极应对的作为也展现了其面对资安事件的负责态度，为此事件画上阶段性句点。在网路威胁无所不在的当下，企业与用户双方都应该共同肩负资安责任，才是抵御骇客攻击的长久之计。