30 秒翻重點

FinFin 翻翻理財整理金管會 10 月 27 日公布的兩件銀行處分：遠東商銀的資訊人員在自行開發系統時，把員工公務聯絡等內部資料傳到行外的私人電腦，還用外部網站做程式測試，結果讓內部資料暴露在外部網站，金管會認定資訊安全與內部資料管理的內控沒有確實執行，依銀行法開罰 200 萬元；同一天，合作金庫銀行因為修訂信用卡契約條款時，審查、確認與覆核機制不完善、未能充分保障持卡人權益，被予以糾正。第二件和每位持卡人都有關：你和發卡銀行之間的權利義務，都寫在契約條款裡，這是理解信用卡是什麼時常被忽略的一塊，也是個人理財中信用卡入門該補上的一課。銀行調整條款時最常碰到的是信用卡年費這類費用規定；想看今年其他罰單，可以對照金管會前 3 季裁罰統計。

遠東商銀：開發測試把資料帶出行外

  • 發生什麼事：資訊人員自行開發系統時，把員工公務聯絡等內部資料傳到行外私人電腦，並使用外部網站測試程式，導致內部資料暴露於外部網站。
  • 金管會的認定：該行對資訊安全及內部資料管理機制，有未完善建立及未確實執行內部控制及稽核制度的情事，違反銀行法第 45 條之 1 第 1 項。
  • 處分：依銀行法第 129 條第 7 款，核處 200 萬元罰鍰。
  • 銀行回應：遠東商銀發布重訊表示，將依主管機關指示改善，營運一切正常，並評估對財務及業務營運無重大影響。

合庫銀行：信用卡契約條款修訂缺失

金管會指出，合庫銀行辦理信用卡契約條款修訂作業時，相關審查、確認及覆核機制未臻完善，致未能充分保障持卡人權益。考量合庫已採行改善措施並就缺失適當處理，金管會依銀行法第 61 條之 1 第 1 項予以糾正，沒有另處罰鍰。

FinFin 觀點

FinFin 判斷：遠東銀這張罰單提醒的是，銀行資料外洩的破口常常不是駭客，而是內部人員為了方便的一個動作。

這次的缺失沒有涉及外部攻擊，而是開發與測試流程把資料帶出行外，再放上外部網站；金管會處罰的重點也不是「被駭」，而是銀行沒有把資訊安全與資料管理的內控做到位。金管會公布的事由提到的是員工公務聯絡等內部資料，對一般存戶最實際的意義，是看銀行能否把開發、測試環境和真實資料確實隔開。

合庫案則更貼近持卡人：條款修訂的覆核機制不完善，金管會認定未能充分保障持卡人權益。對台灣讀者來說，收到發卡銀行寄來的條款修訂通知時，值得花幾分鐘看清楚費用、回饋與權利義務的變動，而不是直接略過。我們會看遠東商銀的改善內容，以及第 4 季是否再出現資安或資料管理相關的銀行罰單，判斷金管會是否把資料治理列為持續從嚴的檢查重點。

你要注意

  • 金管會公告未說明遠東商銀暴露資料的筆數、期間與是否涉及客戶資料，請以金管會與銀行後續說明為準。
  • 合庫信用卡契約條款修訂的具體內容與受影響持卡人範圍，公告未說明；持卡人如有疑問，可直接向發卡銀行查詢。
  • 「糾正」與「罰鍰」都是行政處分，反映的是內控缺失，不代表該行存款或信用卡帳戶的安全性出現問題。
  • 本文為市場資訊整理，不構成個人化金融建議。