作者
標題 [新聞] 資安國安雙崩盤！銀行券商總體檢 驚爆官
時間 Fri Oct 11 16:31:54 2024
標題 [新聞] 資安國安雙崩盤！銀行券商總體檢 驚爆官
時間 Fri Oct 11 16:31:54 2024
機敏個資流中國1／資安國安雙崩盤！銀行券商總體檢 驚爆官網竟遭埋SDK
https://www.setn.com/News.aspx?NewsID=1544856
近年來，資安問題成為全球金融市場的焦點，日前多家金融機構因資安漏洞遭金管會開罰
。《三立新聞網》記者接獲爆料，一家剛大肆宣傳自家獲獎的金融機構，其官方網站使用
的數據分析SDK碼（備註1），竟源自於一家註冊在中國北京市政府的數據公司。進一步調
查全台前十大金融機構後，發現至少3家銀行、券商疑似面臨相同危機。這次事件凸顯台
灣金融機構在資安管理上的重大挑戰，尤其該SDK具備強大追蹤能力、能蒐集客戶交易數
據，若數據回傳北京，恐對台灣數據安全與金融機構信譽造成嚴重影響！《三立新聞網》
記者循線一一追查，並找來了資安專家A大，一同揭露這件原來早就被金融業內精英熟知
，但外界卻毫無所悉的極機密內幕！
。《三立新聞網》記者接獲爆料，一家剛大肆宣傳自家獲獎的金融機構，其官方網站使用
的數據分析SDK碼（備註1），竟源自於一家註冊在中國北京市政府的數據公司。進一步調
查全台前十大金融機構後，發現至少3家銀行、券商疑似面臨相同危機。這次事件凸顯台
灣金融機構在資安管理上的重大挑戰，尤其該SDK具備強大追蹤能力、能蒐集客戶交易數
據，若數據回傳北京，恐對台灣數據安全與金融機構信譽造成嚴重影響！《三立新聞網》
記者循線一一追查，並找來了資安專家A大，一同揭露這件原來早就被金融業內精英熟知
，但外界卻毫無所悉的極機密內幕！
只見A大熟練地拿出電腦，先是打開最普通的瀏覽器，輸入該家一開始被爆料的金融機構
網址，進入其官網後，再打開後台的應用程式，意外發現網頁程式碼最底層，藏著一串由
英文字母及數字組成的代碼「SensorsData2015jssdkcross」。
網址，進入其官網後，再打開後台的應用程式，意外發現網頁程式碼最底層，藏著一串由
英文字母及數字組成的代碼「SensorsData2015jssdkcross」。
看到這串碼「sensorsdata2015jssdkcross」，連A大都很震驚，他帶著疑惑一邊對著《三
立新聞網》的記者：「SensorData的SDK怎麼可以埋在這裡？！Sensors data是大陸的一
家公司，在我們（資安）業內非常有名。」
立新聞網》的記者：「SensorData的SDK怎麼可以埋在這裡？！Sensors data是大陸的一
家公司，在我們（資安）業內非常有名。」
A大接著說，雖然跑出來的資料顯示，這SDK存放在地端，資料會回傳給該金融機構，「但
這串碼的背後，有沒有被設後門，資料會不會因為後門同步傳回北京，這都是很難說的呀
！這家金融機構怎麼可以使用由一家北京公司寫出來的程式碼？這有問題吧！」
這串碼的背後，有沒有被設後門，資料會不會因為後門同步傳回北京，這都是很難說的呀
！這家金融機構怎麼可以使用由一家北京公司寫出來的程式碼？這有問題吧！」
開無痕模式 SDK也能追
更可怕的是，當A大展示了這串程式碼給記者看後，不經意地說了一句話，記者聽完後深
深吸了一口氣，整個人甚至起了雞皮疙瘩。A大說：「這個SDK碼，是連在無痕模式下，都
能有效追蹤的！」
深吸了一口氣，整個人甚至起了雞皮疙瘩。A大說：「這個SDK碼，是連在無痕模式下，都
能有效追蹤的！」
也就是說，即便你使用「無痕模式」去到銀行、證券存匯款或做股市下單交易，同樣會被
這家SensorData公司的SDK碼追蹤到，可以說是完全無處可逃。
A大再打開另一個軟體來驗證，對應後台跑出來的技術分析之處，其顯示出來的公司名稱
也仍是Sensors Data，該軟體還法楚地把該公司的品牌logo顯露出來，是一個綠字寫著大
大的S。不只Sensors Data有埋設SDK碼，連Google的GA（ Google Analytics）也有受託
埋設追蹤在此。Ａ大表示：「這很奇怪，既然這家金融機構已經委託了Google，為什麼還
要讓SensorData的追蹤碼入列，等於重工了！而且SensorData對台灣來說，又是一間相當
敏感的公司！這兩面手法玩得實在讓人摸不清頭緒！」
也仍是Sensors Data，該軟體還法楚地把該公司的品牌logo顯露出來，是一個綠字寫著大
大的S。不只Sensors Data有埋設SDK碼，連Google的GA（ Google Analytics）也有受託
埋設追蹤在此。Ａ大表示：「這很奇怪，既然這家金融機構已經委託了Google，為什麼還
要讓SensorData的追蹤碼入列，等於重工了！而且SensorData對台灣來說，又是一間相當
敏感的公司！這兩面手法玩得實在讓人摸不清頭緒！」
《三立新聞網》記者調查，從A大使用的另一個軟體驗證出來的logo，與中國大陸一家名
叫北京神策的公司logo完全符合，而且該公司於微信（wechat）公眾號即為
sensorsdata2015。另，記者也找到了該公司在網路上，教導旗下學員如何將「
sensorsdata2015jssdkcross」應用於cookies的心法教學，並有詳細的操控步驟SOP可遵
循。
備註1：所謂的SDK（Software Development Kit，軟體開發工具包）是許多網站或應用程
式為了方便進行數據分析而使用的工具，能夠收集用戶的行為數據，並傳回到後台系統進
行分析。全球知名的Google公司，其用來做數據分析的GA，使用的正是SDK追蹤碼。然而
，這些數據可能不僅僅回傳到該金融機構的伺服器，還有可能被傳回中國境內的伺服器，
這對於用戶隱私及國家數據安全構成了潛在的重大風險。
式為了方便進行數據分析而使用的工具，能夠收集用戶的行為數據，並傳回到後台系統進
行分析。全球知名的Google公司，其用來做數據分析的GA，使用的正是SDK追蹤碼。然而
，這些數據可能不僅僅回傳到該金融機構的伺服器，還有可能被傳回中國境內的伺服器，
這對於用戶隱私及國家數據安全構成了潛在的重大風險。
－－
吐槽點太多了以至於無法分辨是不是反串。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.12.162.137 (臺灣)
※ 作者: SilentBob 2024-10-11 16:31:54
※ 文章代碼(AID): #1d2E9-VY (Soft_Job)
※ 文章網址: https://www.ptt.cc/bbs/Soft_Job/M.1728635518.A.7E2.html
推 : A大牛逼1F 10/11 17:11
→ : 所以是哪間金融機構啊？2F 10/11 17:32
→ : 神策官網沒顯示這家了 以前銀行證券都在合作夥伴上3F 10/11 18:22
推 : SDK新解~~XD4F 10/11 18:29
→ : 無痕下單感覺很強，連券商都不知道是誰下的單5F 10/11 19:01
推 : 連結消失了耶？記者怎麼會發現這篇在胡扯一通？XDDDD6F 10/11 20:09
推 : 政府販賣恐懼 鞏固政權 XD7F 10/11 20:30
噓 : set 的新聞, set 的新聞8F 10/11 20:38
→ : 整篇看不懂在寫三小，為了販賣恐懼寫出這種垃圾新聞9F 10/11 21:40
推 : 所以哪間？
話說連結484掛了10F 10/11 22:24
話說連結484掛了10F 10/11 22:24
→ : 政府資安比較嚴格是正常12F 10/11 23:37
→ : 當劇本在寫XD13F 10/11 23:43
→ : 整篇看不懂+114F 10/12 00:58
推 : 刪文了喔? 今天早上看到這篇就覺得翻車機率很大15F 10/12 01:01
推 : 神策很有名啊 是那個傻子硬要報16F 10/12 01:02
推 : 笑死 這樣下架484有打到自己人17F 10/12 02:39
推 : 遭埋 sdk... 臺灣記者真的太好當了18F 10/12 05:29
→ : 三立 顆顆19F 10/12 06:59
推 : 垃圾新聞20F 10/12 10:08
推 : 記者不會自己知道什麼SDK什麼JS啦....八成是這個不知道哪來的半桶水工程師「A大」跑去找記者的21F 10/12 10:41
推 : 真是媒體製造業..23F 10/12 12:16
推 : 勒公三小24F 10/12 13:13
推 : 我還以為到股板25F 10/12 13:31
→ : 呃...20幾年前的政爭抹黑文的程度26F 10/12 14:13
推 : 又是set的嗎？XD27F 10/12 14:51
推 : 三小A大，XD28F 10/12 15:27
→ : 用小動物造謠的概念29F 10/12 16:21
![[圖]](https://i.imgur.com/nxvdT8Hh.jpeg)
推 : 防火牆很難攻破.jpg32F 10/12 20:04
推 : 笑死33F 10/12 21:59
推 : A大是哪裡畢業的 講出來給大家笑一下34F 10/12 22:12
--