两年前，轰动全台的一银 ATM 吐钞案，今年骇客集团首脑在西班牙落网。直到破案，外界才知道，这个让全球 100 家银行受害的国际骇客集团，破案关键就是台湾。
还记得两年前夏天，第一银行 22 家分行，41 台 ATM 自动吐钞 8 千多万，有如科幻电影的电脑骇客劫钞案吗？
时隔两年多，犯罪集团主嫌，被国际警察形容为电脑天才的乌克兰籍 Denis K 在西班牙落网。根据欧洲警方的调查，5 年之内，Denis 骇入 40 多国、100 多家银行的系统，偷走超过 10 亿欧元赃款，而台湾是这个集团犯罪最遥远的地方。
为什么病毒会远渡重洋到台湾？故事，要从一个失误开始。
病毒如何远渡重洋？
依规定，银行必须保存电话录音半年，在清洗掉录音之前，需要重听一次。失误就发生在，一银伦敦分行行员用中毒的个人电脑，登录电话录音系统。就是这样的一个小动作，让病毒以录音系统为跳板，进入了银行主系统。一旦可以连到主系统，就开始在公司内部流窜。
法务部调查局资通安全处科长刘嘉明说，这群骇客的手法并不特别，用的就是俗称的社交工程。冒充合法公司，向银行职员发送带有恶意附件的电子邮件，若有人下载恶意邮件的附件，犯罪集团就可远端控制受害者的受感染电脑与网络设备，并入侵内部银行网络，进而控制 ATM。
欧洲警方发现，Denis 集团犯案已超过 5 年，之所以一直到台湾才栽跟斗，是因为熟悉银行“息事宁人”的潜规则。他的犯案金额控制在“银行不须通报主管机关”的额度内。金管会当初重罚一银 1,000 万，也是因为一银出事后，反应太慢。
但是，欧洲犯罪集团没想到的是，台湾地狭人稠，早在银行报案前，已有热心的民众报案了。密布的街头摄影机，还原车手来去的路线，透过清查饭店住宿纪录，让这群 19 位车手无所遁逃。甚至还有车手在小吃店落网。除了台湾抓住的 3 人，这些车手陆续在美国、白俄罗斯、英国落网。
▲ 两年轰动全台的一银 ATM 吐钞案，今年骇客集团首脑在西班牙落网，破案关键就是台湾。（Source：天下杂志）
台湾立功，找到车手集团头目
“台湾找到车手集团的头 Babii，是这次主嫌落网的关键，”一银案主办检察官台北地检署李彦霖说。他将以一银案代表台湾角逐国际检察官奖。
李彦霖说，台湾先抓到在台北火车站置物柜取款的车手，循着通联纪录，找到了 Babii。8,000 万赃款，Babii 负责处理 6,000 万。外交处境困难的台湾，后来透过日本协助，发布全球通缉。
一年多后，Babii 在白俄罗斯落网。他与 Denis 的通联纪录与台湾检调挖出的两支恶意程式 Carbanak和 Cobalt，建立了直接证据，因而连结上 Denis。
因为证据确凿，这位天才骇客才落网，他坦承吐钞、灭证的程式都是他写的。
问检调侦办一银案最困难的地方是什么？刘嘉明说，就是要从庞大的资料里抓出恶意程式，重建病毒入侵的路径，还要恢复作案后被主嫌删除的档案。他说，这个案子每天约产生一千万笔纪录，一银从中毒到远端发动攻击，需要分析半年，资料量高达 18 亿笔。
检察官李彦霖则透露，当时为了调查有没有内贼。调查员反复查看 22 家分行的录像带。一银案当时发生一件案外案，内湖有位老翁捡到钱，检调花了很多时间调查与老翁同姓的行员，与老翁有无亲戚关系，是否有勾结，任何蛛丝马迹都不放过。最后确认，真的只是一个无心的疏忽。
▲ 图为法务部调查局资通安全处科长刘嘉明。（Source：天下杂志）
问电脑高手刘嘉明，台湾企业应该从一银案学到什么教训？
骇客已经能控制自动驾驶
他提醒，第一，企业应该改变思维，因为一次损害可能让多年获利毁于一旦，所以不要忽略资安的重要性。第二，企业必须认知，资讯与资安人员不同，不要认为资讯人就可以做资安。第三，即使取得认证，国际资安威胁一日数变，资安人员必须即时更新设备与最新知识，必要时应该请专业团队做辅导，也要做好纪录储存。
“许多骇客攻击方式，还是透过人（譬如：邮件钓鱼），帮员工做训练有其必要性，”他强调，企业不妨常做模拟演练，关键是不要美化数据，才能确实防范。
刘嘉明也提醒，随着科技发展，最近国际上不少新型态的犯罪已经出现。譬如：已经有骇客远端控制自动驾驶，要求赎金；物联网系统也有遭到远端入侵，导致个资外泄的案例。
“每家企业都可能成为一银，”刘嘉明提醒，一银在此案是受害者角色。
而在这个数位时代，危机就在每个人的身边。
（本文由 天下杂志 授权转载；首图来源：pixabay）
延伸阅读：
- 没卖掉的新车 最后去了哪里？
- 不懂技术没关系！图解告诉你区块链可以这样用
- 下一个超级强权不是中美，而是供应链
