上海商銀發生1.4萬客户資料外洩情形，今日（28日）金管會在例行記者會上，公佈對上海商業儲蓄銀行（簡稱上海商銀）客户資料外洩一案查核結果，並針對此案下該行所涉及的缺失，祭出違反銀行法第129條第七款的法令裁罰，處以1千萬元罰鍰。而該法令的最高罰鍰是5千萬元。

對於這起事件，金管會銀行局長副局長童政彰表示，自2022年9月及今年5月至7月間，他們陸續接獲匿名民眾反映該行資訊安全問題，而後續查核結果顯示，上海商銀有未完善建立及未確實執行內部控制制度的情形，導致客户資料外洩，而且未能保有相關軌跡。因此，目前外洩來源至今仍不清楚。

對於這些客户資料是如何外流，童政彰表示，目前還沒有定論，初步檢討方向有兩個可能性，一個是資訊廠商，一個是行員，由於這方面牽扯到後續查核，因此銀行局這邊並不會下訂論。

值得我們注意的是，在這起事件下有兩個層面的議題需要重視，首先，是資料外洩事件查核後的發現，上海商銀在內稽內控有4大缺失，其次是，主管機關因為接到民眾匿名檢舉而開始調查資料外洩而導致事件曝光。

根據金管會的説明，上海商銀的重大缺失有四大項，包括未明訂定期變更電腦密碼、未訂定可攜式設備管控規範，以及未留存個人資料使用軌跡，未測試出資安軟體漏洞並確認其執行情形。

具體而言，在未完善建立內部控制制度方面，有兩項：（一）未訂定妥善的個人電腦管理者權限規範，金管會發現該行是在案發後，才開始明定每半年變更個人電腦管理者權限密碼，（二)未訂定完善可攜式設備管理規範，有權使用可攜式設備的人員可以使用可攜式設備將行內資料攜出，且無妥適的讀取控管措施。

其次，在未確實執行內部控制制度方面，也有兩項：（一）未留存使用者軌跡：在該行的案關報表系統上，並未依內部規範，記錄個人資料使用情況，留存軌跡資料或相關證據。這也使得個人資料外洩，無法追蹤個人資料使用狀況，並且影響查核時程；（二）未測試出資安軟體漏洞並確認其執行情形：同樣是未落實執行內部規範，在作業系統上線前及更新時，未能測試出資安監控軟體漏洞，並確認其於工作站的執行情形，導致並未發現該資安軟體未能正常啟動的情形，這也造成了無法控管及記錄可攜式設備資料的存取，影響查核時效，且無法判斷實際損害情形，並不利後續調查程序。

另一方面，這起事件之所以曝光，童政彰提到，他們從兩個投訴管道接獲這樣的消息，一是向主管機關投訴，一是檢舉人將資料外洩名單以紙本方式送至銀行分行端，以佐證資料外洩。

不過，令人感到好奇的是，檢舉人如何拿到這些資料？如何知道這些客户資料都是上海商銀的客户？對此，童政彰表示，匿名檢舉人提供到分行端的紙本資料中，包含了100位該分行的客户姓名與身分證證號，而且上海商銀60家分行都各自收到源於自家分行外流的客户資料，累計有6千名客户資料，再加上直接寄到金管會的資料，最終比對統計之後，總共外流1.4萬客户資料。

對於是否可能是行員所為？背後可能目的？金管會無法臆測，銀行端也沒有進一步接到勒索的消息，這次他們主要針對客户資料外流案查核到的缺失做行政處置。

至於這起資料外洩事件的後續因應，童政彰表示，將督促該銀行採取一些行動，像是聯繫受資料外洩影響的客户，慎防詐騙之類防範措施，以及針對受影響客户提供甚麼樣的補償方案，還有銀行需設想外洩資料可能被如何運用，並想辦法保護客户的資料。

此外，金管會也對上海商銀提出其他4項監理要求，包括：請該行全面檢討本案所涉當責人員及主管責任，懲處程度應與所負責任相當；請該行盤點全行涉及個人資料之各類電腦系統是否均建置留存個人資料使用稽核軌跡，以及清查全行行員查詢個人資料相關權限是否符合最小化權限原則，並應定期辦理檢視權限作業；請該行建置各類應用系統測試稽核機制及權限範圍內不正常查詢及下載情形監控分析機制；請該行充實稽核人員資訊系統稽核能力，並委託會計師辦理全行個人資料保護專案查核。不過，對於個資法方面問題，金管會在這場記者會上並無多做説明。

同時，金管會也向各金融機構呼籲，應依「金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法」，完善建立個人資料保護管理程序及措施，需落實執行及定期檢視妥適性。