網銀與帳戶安全：裝置綁定、OTP 與常見詐騙手法

網銀被盜用的案件，很少是密碼被一個一個試出來。多半是驗證碼被騙走，或有人把自己的裝置綁到你的帳戶底下——密碼還好好的，錢已經出去了。

這篇先講銀行那一側的防護機制，讓你知道什麼是正常的；再對照四種常見劇本，知道什麼是不正常的；最後是出事的處置順序與申訴、評議途徑。

銀行怎麼確認「是你本人」：五種機制各防一件事

銀行其實在問三個問題：發動的人知不知道只有你知道的事、手上有沒有只有你有的東西、是不是你本人。銀行公會的電子銀行業務安全控管作業基準把驗證的可信程度分成五個信賴等級，交易風險越高，要求越嚴。

• 固定密碼、圖形鎖與手勢：證明你知道只有你知道的事。
• 一次性密碼（OTP）：限用一次；用於低風險非約定轉帳且與交易內容無關者，限定產生起 120 秒內有效。
• 裝置綁定（作業基準稱為設備指定）：確認發動交易的，是你與銀行約定持有的那一台設備。
• 憑證：私鑰存在載具裡，交易時做數位簽章，證明指示中途沒被竄改。
• 生物辨識：指紋、臉部等特徵，可由銀行驗證，也可由你的裝置驗證、銀行只讀結果。

「兩項以上技術」就是三類取兩類：你知道的資訊、經銀行確認的設備、你的生物特徵。對方騙走一個，還有一個攔著。

OTP 的唯一用途，是你自己正在進行的那一筆交易

OTP 產生後只能用一次，有效期很短，只回答一個問題：發動這筆交易的人，手上是不是那支登記過的手機。

所以規則很短：任何人向你索取 OTP 都是詐騙。銀行不會問，客服不會問，警察與公家機關也不會問。金管會與銀行局在 2025 年 5 月提過三個「不會」：不會主動聯繫民眾、不會凍結帳戶、不會要求匯款。

收到 OTP 簡訊要看的是內容，不是那串數字。金管會 2026 年 5 月的提醒是：輸入前務必核對交易幣別、金額及目的是否相符，若有不符切勿輸入。沒發動交易卻收到 OTP，代表有人正拿你的帳號在試。

帳戶被通報為警示帳戶會發生什麼事，怎麼避免

約定與非約定轉帳：額度本身就是一道防線

約定轉入帳戶要事先設定，非同一統一編號的帳戶首次設定要先臨櫃或視訊會議確認，設定後轉帳屬低風險交易。非約定轉帳沒有這道手續，每筆應採用中信賴等級以上、簡訊 OTP 或軟體 OTP 等安全設計確認身分。

更關鍵的是額度。作業基準規定，透過網際網路的非約定轉帳低風險交易，每一帳戶每筆不超過等值新臺幣 5 萬元、每天累積 10 萬元、每月累積 20 萬元；採用更嚴密的防護措施並能防止交易內容被竄改者，限額可提高到當日累計 300 萬元。

非約定轉帳的額度就是最壞情況下的損失上限。不常轉給陌生帳戶的人留在夠用就好；要匯大額，臨櫃或事先設定約定帳戶都比臨時開到最大安全。

閱讀完整文字說明

四組上下成對的方塊並排。上排是銀行在每一道關卡確認的事：第一關登入，用帳號、密碼與圖形鎖證明你知道只有你知道的事；第二關裝置，用設備指定與生物辨識確認是你約定的那一台；第三關交易確認，用一次性密碼與憑證簽章確認這一筆是你發動的；第四關額度上限，用非約定轉帳的單筆與累計限額限制最壞情況的損失。每一組上方的方塊各有一個向下的箭頭指到下方的方塊，下排是同一道關卡被繞過的方式：第一關是仿冒頁面，連結由別人送到你手上，你在假網頁輸入帳號密碼；第二關是引導綁定，你照指示完成一次設定，別人的裝置就綁進來了；第三關是索取一次性密碼，對方以驗證身分為名要你唸出，等於替對方簽了名；第四關是通話中調高，要你把額度開到最大或改掉綁定的門號。最下方一條橫幅寫著非約定轉帳的限額就是最壞情況下的損失上限，並列出每筆五萬元、每天累積十萬元、每月累積二十萬元三個數字。

數位帳戶的開戶方式與使用限制，和實體帳戶差在哪

假網站與假 App：入口只留一個

仿冒網銀不是新手法，金管會金融智慧網整理的「冒牌網路銀行」就是拷貝或仿冒網路銀行的網頁，讓你無意間洩漏帳號密碼。今天更難認，因為連結是別人直接送到你手上的。

• 入口只留一個：自己輸入網址，或用已裝好的官方 App；訊息、郵件、廣告與別人給的 QR Code 都不算。
• App 只從裝置內建的官方商店安裝，不照著連結下載安裝檔。
• 不在非官方頁面輸入帳號、密碼、卡號或 OTP；要確認就先掛電話。
• 把入扣帳與消費通知打開，它比對帳單更早讓你知道出事。

四種劇本，同一個骨架

手法各不相同，骨架一樣：先製造急迫，再取得信任，最後要你親手操作。手法每月在換，認出骨架比背手法有用。

• 假客服說訂單異常：詐團先竊取電商後臺的交易紀錄與個資，冒充商家或銀行致電，說得出你的訂單細節，稱設定錯誤會重複扣款，要你去操作自動櫃員機或網銀。
• 假買家說要驗證賣場：私訊個人賣家表示想買，要你到便利商店開立商品連結，再稱訂單遭凍結，傳來仿真的假客服連結，誘騙提供轉帳 QR code 或 OTP。
• 假冒機構說帳戶涉案：冒充公務機關說你遭冒用身分開戶、涉及洗錢，「轉接」警方做筆錄，強調偵查不公開別告訴親友，要你配合監管帳戶。
• 假投資群組：以股票、虛擬通貨、期貨與基金名義拉人進群組，先讓你小額獲利，再誘導加碼；要提領時就出現洗碼量不足、繳保證金等說詞。

四種劇本要你做的動作只有幾種：提供 OTP、在對方指定的頁面輸入帳密、變更綁定門號、調高轉帳額度、安裝不在官方商店的 App。

帳戶疑似被盜用：先做什麼，後做什麼

出事的當下，順序比速度重要：先止血，再留證，最後才處理責任歸屬。順序顛倒，錢會在你翻找資料時流完。

1. 聯繫發卡機構或存匯銀行。金管會對信用卡遭盜刷的建議就是立即聯繫發卡機構；號碼看卡片背面或存摺。
2. 依指示辦理停用或圈存。存款帳戶及其疑似不法或顯屬異常交易管理辦法第 5 條規定，警示帳戶應暫停全部交易功能，衍生管制帳戶暫停提款卡、語音轉帳、網路轉帳等功能。
3. 報案。撥 165 或到 165 全民防騙網網路報案；也可以就近走進任何一家金融機構告知遭詐騙，由金融機構撥 165，警方 2 個小時內派員到場受理，受款金融機構圈存匯入款項，自圈存起算 24 小時內無法提領。
4. 取得並保留受（處）理案件證明單，之後可在警政署網站的受理案件查詢查進度。
5. 保留訊息與畫面：對話紀錄、簡訊原文、來電時間、對方給的帳號與網址、交易明細。個人資料保護法第 29 條的損害賠償責任要主張，也得有紀錄。

爭議還沒結束：申訴與評議是有順序的

款項攔不回來，或你與金融機構對責任歸屬看法不同，接下來走的是金融消費者保護法的程序。同法第 13 條第 2 項規定，金融消費者應先向金融服務業提出申訴，金融服務業應於收受申訴之日起 30 日內為適當之處理並回覆。

不接受處理結果，或金融服務業逾期不為處理，得於收受處理結果或期限屆滿之日起 60 日內，向依同條第 1 項設立的爭議處理機構——財團法人金融消費評議中心——申請評議。

第 29 條第 2 項規定，金融服務業事前以書面同意或契約已載明願意接受評議者，對於每一筆給付金額在一定額度以下的評議決定應予接受；金管會 2022 年 3 月 18 日公告的額度，特定投資型商品是新臺幣 120 萬元，其餘是 12 萬元。

申訴回覆、對帳單與契約要放在哪裡才找得到

• 教學
• 理財與金錢
• 銀行與支付