今天有三件事值得留意：永豐銀行因新網銀系統遭駭，418 名客戶被盜轉 4,176 萬元，銀行已全額墊付；多家 AI 開發平臺接連出事，儲存的 AI 金鑰被拿去大量呼叫模型，Google 也警告 LLMjacking 單日帳單可超過 10 萬美元；另外，農地設置太陽能仍可課徵田賦的規定也有最新說明。
零售與支付
永豐銀證實遭駭，418 名客戶被盜轉
永豐銀行表示，外部駭客利用新網銀交易系統的供應商安全設定，造成 418 名客戶、427 筆異常匯款，多數單筆 10 萬元，總額 4,176 萬元。銀行於事發當日下午 1 時 47 分下架新網銀 APP，2 時 51 分全額墊付退款。銀行稱駭客以隨機試誤取得有效帳戶，依目前事證並無個資外洩軌跡。至於刷臉驗證與突破非約定轉帳單筆 5 萬元上限的疑點，因進入司法調查而暫不公開，銀行並表示將向廠商求償。
對你的意義：店家與事務所應確認網銀的單筆轉帳上限、交易通知與異常轉帳警示是否開啟，並留意對帳頻率。若自家系統也串接外部供應商，要檢查對方預設的安全設定。
來源：科技新報
中小企業 IT 與 AI
法國銀行與血庫遭網攻，涉案逾 43 億元
法國阿爾凱亞互助信貸銀行表示遭到網攻，並暫停部分交易，稱攻擊已受控制、客戶不會蒙受財務損失。獨立調查人士 ZachXBT 揭露涉案金額據傳達 1 億 3,300 萬美元（約新台幣 43.72 億元），該行並未證實損失金額。另外，法國國家血液中心表示，11 月 2 日一家冷凍設備服務供應商遭遇資安事件，3 個據點的監控及控制系統受影響，冷庫溫度被改為攝氏 110 度。該中心稱未造成健康影響，也無血液製品損失通報。
對你的意義：攻擊常從供應商或監控系統切入。工廠與店家若有冷鏈、機房等聯網設備，應盤點遠端管理帳號，並確認異常時可手動接管。
來源：中央社財經
AI 開發平臺接連出事，金鑰被大量盜用
Wiz 調查 10 月多起 AI 開發與部署平臺事件，發現攻擊者曾存取客戶儲存的環境變數與憑證。在兩起案例中，平臺通報憑證遭存取後不到 30 分鐘，攻擊者就開始測試金鑰，其後一起 30 小時內呼叫約 80 萬次 Amazon Bedrock API，另一起 13 小時內約 170 萬次。Zeabur 遭讀取逾 321 萬筆環境變數，並宣布 12 月 31 日前停止營運。Northflank 則要求客戶立即輪替所有敏感憑證。
對你的意義：若你的系統把 AI 或資料庫金鑰放在雲端部署平臺，現在就該輪替金鑰，並檢查 AI 服務供應商的用量與帳單。
來源：iThome
LLMjacking：AI 存取權被盜賣，帳單暴增
Google 威脅情報團隊與 Mandiant 警告，LLMjacking 攻擊會竊取企業的 API 金鑰、雲端憑證或登入工作階段，直接呼叫後端模型。入侵管道多來自公開暴露的模型端點、外洩在 GitHub 的金鑰，或缺乏保護的雲端帳號。受害企業單日帳單可能超過 10 萬美元，部分案例累積損失逼近 100 萬美元。Google 建議採最小權限、設定支出上限與配額、開啟雲端日誌並建立異常警報。
對你的意義：替每把 AI API 金鑰設定預算上限與用量警報，並檢查程式碼庫是否有金鑰外洩。這是成本最低的第一道防線。
來源：科技新報
導入 AI 代理，要像帶新人一樣管理
Dot Compliance 執行長 Doron Sitbon 建議，把 AI 代理當成新進員工看待：明確定義職責、從少數高價值應用切入、先小規模試行，並建立須由人類決策的轉呈管道。Gartner 調查顯示僅 38% 的人資長與資訊長對 AI 如何影響未來工作有共同認知，CSA 調查則發現 82% 企業一年內曾發現沒看過的 AI 代理。波士頓大學與 BCG 亨德森研究所的實驗也發現，被告知文件出自「AI 員工」時，經理人揪錯會減少 16%。報導結論是每個代理都應有明確負責人、成效指標與緊急停止機制。
對你的意義：導入 AI 前先指定一位負責人，並寫下它能碰哪些資料與系統。出錯時的責任歸屬要事先講清楚。
來源：科技新報
AI 資安測試：先盤點權限，再驗證能否停機
資安專家指出，AI 代理的風險取決於它所連接的帳號、工具與系統權限，而非任務描述。建議先建立「有效存取地圖」，從關鍵資源往回追溯工具與身分，若串不起來就是可見性缺口。測試時，「活動被阻擋」「觸發警告」「資料仍送出」是三種不同結果，只偵測警告而未阻止外流，不算通過。緊急停機測試則要在任務進行中撤銷憑證、關閉外部連線並下達停止指令，若代理仍能運作即為失敗。
對你的意義：替 AI 工具另建權限最小的專用帳號，不要共用管理員帳號。上線前實際演練一次「切斷憑證後它是否真的停下來」。
來源：科技新報
能源與製造
農地種電符合農業使用，仍可課徵田賦
彰化縣地方稅務局說明，農業用地設置太陽能光電設施，須取得農業設施容許使用證明文件，經能源主管機關依法同意備查，且持續作農業使用，仍適用土地稅法第 22 條課徵田賦（目前停徵）。太陽能板下仍須有種植作物等農業經營，且不影響動植物生長。養殖用地上的漁電共生若結合農業經營，也可課徵田賦。若農地未作農業使用，則改課地價稅。
對你的意義：替客戶或自家評估農地種電時，要確認證明文件與實際農業經營都齊備，否則稅負可能由田賦改為地價稅。有疑問可撥 0800-476969 洽詢。
來源：財政部稅務入口網
航空貨運燃油附加費再漲，三個月漲逾五成
華航通知貨攬業者，11 月 16 日起歐美長程線每公斤燃油附加費由 77 元調高至 79 元，漲幅 2.6%；長榮航、星宇航據了解也將跟進，實際費率以各公司通知為準。以 8 月中旬 51 元計算，三個月內調漲五次、累計增加 28 元，漲幅 54.9%。民航局公布 11 月國際航線航空燃油價格為每桶 183.09 美元，較 10 月上漲 5.2 美元。亞洲短程線每公斤 27 元維持不變。
對你的意義：出口廠商報價時要把燃油附加費變動納入，並與貨代確認生效日期，避免成本落差。
來源：經濟日報
3Q 編輯部觀點
今天的新聞看似分散，其實指向同一件事：中小企業真正的風險，往往不在自己的主機，而在連出去的那一層。永豐銀行事件的起點是供應商的安全設定；Zeabur、Northflank 的事件是平臺上存放的金鑰被讀走；法國血庫則是冷凍設備服務供應商出事，連帶影響三個據點。共同點是第三方。
從我們做電子發票、記帳士事務所系統與 POS 整合的實務來看，客戶最常見的狀況是金鑰、API 憑證與資料庫密碼散落在好幾個地方：部署平臺、設定檔、甚至聊天記錄。AI 功能加進來之後，又多了一批有金額上限風險的金鑰。LLMjacking 的報導提醒我們，這種金鑰一旦外洩，損失是以小時計算的，而不是以天計算。
建議的行動很樸素：第一，盤點哪些系統放了金鑰，並定期輪替；第二，每把 AI 金鑰設定預算上限與用量警報；第三，AI 代理或自動化流程使用專用、最小權限的帳號，並實際演練過停機。第四，網銀與金流帳戶開啟交易通知，設定合理的轉帳上限。
這些工作不花大錢，但需要有人負責。像科技新報談的 AI 代理管理也是同樣道理：工具再聰明，最後仍要有一位明確的負責人。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（科技新報、中央社財經、iThome、財政部稅務入口網、經濟日報）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。