如果說二○二三年AI造成的詐欺損失一百二十億美元聽起來像個遠方的警訊，那麼二○二七年的四百億美元預測，應該要讓每一位使用網銀、行動支付，甚至只是把錢放在銀行的你我，都開始冒冷汗。這不是科幻電影的情節，而是金融服務業眼前正在加速實現的現實。

問題的根源，遠比我們想像的更基本，也更致命。根據資安公司派拓網路（Palo Alto）旗下威脅情報團隊Unit 42的調查，去年將近九成的資安應變案例，起點都來自同一個破口：身分識別的漏洞。換句話說，駭客不再需要費心破解複雜的防火牆，他們只需要一個有效的數位身分，就能長驅直入。而且，現在需要保護的「身分」早已不只屬於人類。

機器已經悄然成為網路上的一等公民，卻沒有獲得相應的保護

這份報告揭露了一個極具衝擊力的數字：在金融機構的數位環境中，機器身分（Machine identities）與人類身分的比例已經達到驚人的一百零九比一。我們談論的不只是伺服器和應用程式，還有API、容器、物聯網設備，這些看不見的「數位勞工」在後台高速運轉，但多數金融機構對它們的管理思維，恐怕還停留在上個世代。

「不預設信任」是資安界近年大力提倡的零信任（zero trust）核心精神，但現實是，多數機構的作法恰恰相反。一旦某個服務或設備取得內部網路的存取權，它們往往就獲得了某種程度上的「永久通行證」。當機器身分的數量是人類的一百倍時，這種過度寬鬆的信任機制，等於是把家門鑰匙複製了一百份，然後隨意掛在牆上。

防護工具過多反而像是沒有防護

你可能會想，面對這麼嚴峻的威脅，金融機構一定投入了大量資源在資安防禦上吧？數據確實顯示，它們平均使用了多達一百一十四種不同的安全工具。但這個數字背後隱藏的，不是銅牆鐵壁，而是一套充滿盲點的拼裝系統。

想像一下，一個房間裝了一百一十四個監視器，但它們來自不同品牌、使用不同系統，畫面無法整合。當警報同時響起時，保全人員光是要搞清楚哪個畫面對應哪個警報就已經手忙腳亂，更別說即時做出反應。這就是當前金融業資安防護的縮影：工具氾濫導致的複雜性，反而成了防禦網上最大的破洞。防護的碎片化，讓攻擊者有更多機會找到系統整合間的縫隙。

【編輯觀點】這場身分識別的資安危機，本質上是「信任機制」的全面失靈。數位轉型走得太快，但金融業對「誰、什麼東西、在什麼情境下可以存取什麼資源」的判定能力，顯然沒跟上。我們不能再用管理門禁卡的方式來管理數位身分，尤其是機器身分。這不是單純導入更多AI防毒軟體就能解決的問題，而是需要從架構面重新設計「零信任」的實踐路徑，把每一個存取請求都當作潛在的威脅來驗證。對一般大眾而言，這意味著未來無卡提款、行動投保等便利服務的背後，銀行必須付出更高的驗證成本——這道成本，終究會轉化成我們使用金融服務時的「不便」，但這種不便，可能是對抗詐欺飆升的必要之惡。

AI武器化的不對稱競賽

派拓網路的研究員Matt Brady提出一個令人不寒而慄的對比：過去，攻擊者要完成一套有效的滲透測試（尋找系統漏洞），可能需要耗時兩年。但現在，借助AI模型的輔助，這個時間被劇烈壓縮至僅僅三週。這不只是效率的提升，而是攻擊本質的改變——攻擊者能夠以前所未有的速度和規模，自動化地發掘並利用身分驗證流程中的微小瑕疵。

更令人擔憂的是，極具破壞力的Frontier AI（前沿人工智慧）模型，專家預估在三到五個月內就會被犯罪集團成功武器化。這將導致詐欺手法從「大規模、低品質」的亂槍打鳥，進化為「高度個人化、難以辨識」的精密社交工程攻擊。當Deepfake（深度偽造）技術結合AI驅動的釣魚郵件，傳統以「生物特徵」或「密碼」為單一根基的身分驗證，其可信度將面臨根本性的挑戰。

金融業的防禦思維需要一次砍掉重練

首先，必須承認「身分」的定義已經改變。企業不能再將機器身分視為次要的IT維運問題，而應將其視為與客戶個資同等重要的核心資產來保護。這意味著導入專門針對機器身分的生命週期管理方案，從創建、權限賦予、定期稽核到註銷，都必須自動化且嚴謹。

其次，捨棄拼裝式的工具思維，轉向整合性的防護平台。與其管理一百一十四種互不相通的工具，不如選擇能提供統一可見性的平台，讓安全團隊能真正看清威脅的全貌，而不是被無數的警報聲淹沒。

最後，零信任不該只是口號。企業必須落實「持續驗證」的機制，任何存取行為，不論來自人類或機器，都必須經過動態的風險評估。這不只是技術問題，更是組織文化和流程的重塑。

話說回來，對一般存款大眾來說，這些技術名詞或許感覺遙遠。但當你下一次收到看似來自銀行的簡訊、或是在網路上看到一個報酬率異常優渥的投資機會時，請記得，那背後可能正有一個被AI加速過的詐欺劇本在運作。在銀行徹底補起身分識別的漏洞之前，多一分警覺，就是對自己荷包最直接的保護。

本文改寫整理自公開新聞來源，原始報導由Yahoo奇摩新聞發布。

常見問題 FAQ

AI驅動的詐欺損失真的會在三年內達到400億美元嗎？

根據派拓網路（Palo Alto）威脅情報團隊的報告與相關產業預測，AI詐欺造成的全球損失預計從2023年的120億美元，在2027年飆升至400億美元，這項預測已被多家資安機構引述，反映出產業對此趨勢的高度共識。

什麼是「機器身分」，為什麼它會成為資安漏洞？

機器身分指的是伺服器、API、物聯網設備等非人類實體的數位憑證。報告指出金融機構中機器與人類身分比例高達109比1，但多數企業對這些機器的管理權限過於寬鬆，導致攻擊者可透過機器身分繞過傳統防護，成為新的攻擊破口。

一般民眾該如何防範AI強化的金融詐騙？

對於任何要求提供個人資訊、轉帳或投資的來電與訊息保持高度警覺，即使對方能說出你的部分個資。切記，金融機構不會透過簡訊或通訊軟體要求你提供密碼或進行帳戶操作，遇到可疑情況應立即掛斷並撥打銀行官方客服查證。

零信任（Zero Trust）原則是什麼？

零信任是一種資安策略框架，核心精神是「永不信任，始終驗證」。它預設網路內部與外部同樣充滿威脅，因此每一次對資料或系統的存取請求都必須經過嚴格的身分驗證與授權，而非預設給予信任。

使用超過100種資安工具不是應該更安全嗎？

報告數據顯示，平均使用114種安全工具的金融機構，其防護效果反而可能打折。過多且無法整合的工具會產生監控盲點，並增加管理複雜度，讓資安團隊難以即時辨識並回應真正的威脅，形成「越多工具越不安全」的矛盾現象。

※ 此篇文章由 AI 改寫或生成，內容僅供參考，可能存在錯誤或不準確之處。