使用網銀如何自保（Self Protection on Internet Banking）

最近跟朋友聊到了網路銀行的使用，他原本是打死不用網路銀行（安全性顧慮），現在受時間與空間的壓縮下，不得不使用這個方便的金融平台。

不過，他對安全性還是有所疑慮，所以在MSN上問了我一些細節，其中包括了在網銀交易上怎麼樣可以保護自己，我記得先前寫過線上交易與安全一文中有大略提過，竟然朋友問了，我也來整理一下。

以下是我個人使用的經驗，以及對金融業的認識所整理出來的，無法代表所有的狀況，這一點我還是要先說明一下，話說回來，我也沒這麼大能耐，每家銀行都去開網路銀行呀！（雖然在打工時期，開了不下十個銀行帳戶...）

在使用網路銀行之前，我想有些東西還是得先交待一下，那就是網路銀行的資料傳送方式，基本上所有的網路銀行都建立在https的通訊協定之下（不代表使用https的就一定是正確的金融網站唷！）。

其實https就是瀏覽網網頁時用的http＋ssl而已（有興趣的人再去參考WikiPedia吧！）

所以，在你連線到網路銀行的同時，在使用者電腦與主機間傳送的資料全都經過加密，但是，使用者的電腦不一定安全，甚至連主機部份的安全也有可能偽造。

1.電腦本身不安全：

因為加密的只有資料內容，但是輸入的介面還是可以透過木馬程式（例：KEYLOG...等）側錄，所以網路銀行也增加了相關機制，避免使用者被側錄。例：北富銀（動態鍵盤）、渣打銀行（動態密碼）等，都可以避開鍵盤側錄程式。

一般網路銀行的使用，都是使用身份證字號、使用者代碼和使用者密碼，甚至有些網路銀行還有兩道密碼（例：最近很熱門的HSBC Direct），這些都是常見的登入方式，使用者就得更小心自身的安全性，除了防毒軟體之外，防火牆的設置也是相當重要的課題。

2.主機部份的安全：

其實現在的網路犯罪，就是把自己偽裝成合法主機（例：網路釣魚），懹使用者誤以為自己是連到一個正常的官方網站，甚至也能去申請ssl憑證，這也是為何前面會說，就算是https的網站也不一定安全，畢竟類似的網站（例：英文的小寫L和數字1），要去申請ssl憑證並不困難。

所以https並非是萬靈丹，千萬別以為是採用經過加密的通訊協定就相信它，因為網路銀行的平台設計，就是種基於登入者為本人所進行的金融交易，所以遭受詐騙、側錄、或其它方式經過網路銀行所造成的損失，銀行僅站在協助處理的角色，並不負擔任何責任。（調閱相關證明，還得使用者付費...除非問題出在銀行的主機端）

當然，也有比較複雜的自保方式（需配合防火牆），這部份還得針對網路銀行的相關資訊來設置，例：

1.經防火牆設定網路銀行的IP或網段，允許傳送及接收資料。
　（例：www.chinatrust.com.tw的ip＝203.66.181.190）
2.本機僅開放網路銀行的port（https 443），其它全部封鎖。
3.注意網站訊息（因金控整併，網站可能會消失或留存）。

不僅使用網路銀行要注意，只要進行敏感資料傳遞時，都要留意

1.不允許瀏覽器記錄使用者資訊（帳號、密碼、使用者代號...）。
2.使用信任的網路（例：不共用網路，若問題在ISP端，只能認了）。

其實在網路銀行或是任何一種線上金融的機制下，都有一定的風險存在，就算是看起來較安全的https，也有可能透過某些攻擊方式而被破解（類似釣魚網站的手法，可參考MITM attack）

最重要的是使用者要掌控好網路銀行的操作環境，至於使用者帳號、代號及密碼，自己必須盡到妥善保管的責任（盡可能放腦子裡，不要留下文字記錄）。

筆者曾有耳聞，有人把網銀的帳戶及密碼資料置於同一地點，被竊後造成帳戶被提領一空的慘劇（六位數字的損失），一般人都知道存摺和印章不能放在一起，更何況是不需身份證明的網路銀行資料。

最後，補上金管會提供的網銀安全資訊：

金管會製作的網銀使用的小秘訣：（心得摘要如下）

一、確認網路銀行網址（電話查證）
二、網路密碼的設定（避免懶人密碼）
三、網路密碼的保管（勿使用電腦自動記錄）
四、使用晶片金融卡及網路ATM加強網路交易安全
五、使用行動通訊及無線網路的風險（與網路安全雷同）
六、使用電腦應注意事項（可參考我先前的文章）

PS：此為心得摘要，如需原文，可連至PDF檔觀看。

除此之外，許多Toolbar（Google、Yahoo...等）都會造成無法正常使用網路銀行，所以金管會還有針對快顯封鎖程式的說明（Html、doc檔）供大家參考。