駭客暗網買個資盜換高鐵TGo點數、小樹點 3人收押

台灣高鐵「TGo」會員點數及小樹生活網站，日前遭知名駭客金主游哲銘與車手頭鄭宇軒涉雇用大陸駭客「撞庫攻擊」盜取點數兌換商品券，不法獲利近百萬元；屏東駭客陳柏森涉在暗網買高鐵會員帳號，不法登入數10名會員帳號盜換商品兌換券銷贓。

全案起源於，台灣高鐵今年8月報案，部分TGo網站會員帳號遭不明人士將點數盜換為商品券，隨即在超商、餐廳實體店兌換商品；9月間又發現不明人士對TGo網站會員逾百萬筆撞庫攻擊，成功率約 5％，逾500名旅客會員點數被盜換為全國電子抵用券，且迅速在實體店核銷購買3C、手機及家電產品。9月間，神坊公司小樹生活網站報案稱會員點數「小樹點」遭盜換成零售量販店即享券，被核銷買酒類及家電。

調查局台北市調查處今指出，2起高鐵TGo會員點數、1起小樹生活網站等3案，經屏東地方檢察署楊士逸檢察官及台北地方檢察署郭盈君檢察官指揮偵辦，動員上百名調查官搜索19處，約談10名人到案，陳柏森、游哲銘、鄭宇軒遭羈押禁見，其餘共犯也訊問完畢。

調查局今指出，屏東一名駭客陳柏森今年8月、9月間涉獨自在暗網購買個資帳密，且取得「撞庫攻擊（憑證填充攻擊）」程式，自行在屏東盜用高鐵數十名會員點數兌換商品券，再銷贓牟利，不法所得數萬元，日前發動搜索時，陳已遭收押禁見，日前檢方認為事證明確已具保停押。

檢調追查，游哲銘與香港駭客集團「Yang Lei」勾結，出金購買台灣人遭外洩的帳密，再透過的駭客操控殭屍設備及境外VPN IP，撞庫攻擊台灣高鐵、小樹點，取得電子商品券後，由鄭宇軒車手集團到實體店面兌換商品牟利，不法獲利近百萬元。本月21日一名陳姓共犯到案訊後10萬元交保。

調查局指出，犯嫌掌握帳密個資來源是民眾過往下載不明程式執行致電腦資料遭竊取，或經釣魚網站竊取，及過往不同平台個資外洩，個資在暗網售販售，呼籲民眾在各網站亦分別設定具獨特性密碼，切勿下載執行來路不明的程式。

調查局呼籲，企業對於經營的網站如存有會員儲值金額、點數、票券等有價電子紀錄，或提供綁定信用卡等付款機制，應在會員登入機制，導入兩階段或多因子認證，防止遭不法登入、詐欺。