機敏個資流中國1／資安國安雙崩盤！銀行券商總體檢 驚爆官網竟遭埋SDK
https://www.setn.com/News.aspx?NewsID=1544856
近年來，資安問題成為全球金融市場的焦點，日前多家金融機構因資安漏洞遭金管會開罰
。《三立新聞網》記者接獲爆料，一家剛大肆宣傳自家獲獎的金融機構，其官方網站使用
的數據分析SDK碼（備註1），竟源自於一家註冊在中國北京市政府的數據公司。進一步調
查全台前十大金融機構後，發現至少3家銀行、券商疑似面臨相同危機。這次事件凸顯台
灣金融機構在資安管理上的重大挑戰，尤其該SDK具備強大追蹤能力、能蒐集客戶交易數
據，若數據回傳北京，恐對台灣數據安全與金融機構信譽造成嚴重影響！《三立新聞網》
記者循線一一追查，並找來了資安專家A大，一同揭露這件原來早就被金融業內精英熟知
，但外界卻毫無所悉的極機密內幕！
只見A大熟練地拿出電腦，先是打開最普通的瀏覽器，輸入該家一開始被爆料的金融機構
網址，進入其官網後，再打開後台的應用程式，意外發現網頁程式碼最底層，藏著一串由
英文字母及數字組成的代碼「SensorsData2015jssdkcross」。
看到這串碼「sensorsdata2015jssdkcross」，連A大都很震驚，他帶著疑惑一邊對著《三
立新聞網》的記者：「SensorData的SDK怎麼可以埋在這裡？！Sensors data是大陸的一
家公司，在我們（資安）業內非常有名。」
A大接著說，雖然跑出來的資料顯示，這SDK存放在地端，資料會回傳給該金融機構，「但
這串碼的背後，有沒有被設後門，資料會不會因為後門同步傳回北京，這都是很難說的呀
！這家金融機構怎麼可以使用由一家北京公司寫出來的程式碼？這有問題吧！」
開無痕模式 SDK也能追
更可怕的是，當A大展示了這串程式碼給記者看後，不經意地說了一句話，記者聽完後深
深吸了一口氣，整個人甚至起了雞皮疙瘩。A大說：「這個SDK碼，是連在無痕模式下，都
能有效追蹤的！」
也就是說，即便你使用「無痕模式」去到銀行、證券存匯款或做股市下單交易，同樣會被
這家SensorData公司的SDK碼追蹤到，可以說是完全無處可逃。
A大再打開另一個軟體來驗證，對應後台跑出來的技術分析之處，其顯示出來的公司名稱
也仍是Sensors Data，該軟體還法楚地把該公司的品牌logo顯露出來，是一個綠字寫著大
大的S。不只Sensors Data有埋設SDK碼，連Google的GA（ Google Analytics）也有受託
埋設追蹤在此。Ａ大表示：「這很奇怪，既然這家金融機構已經委託了Google，為什麼還
要讓SensorData的追蹤碼入列，等於重工了！而且SensorData對台灣來說，又是一間相當
敏感的公司！這兩面手法玩得實在讓人摸不清頭緒！」
《三立新聞網》記者調查，從A大使用的另一個軟體驗證出來的logo，與中國大陸一家名
叫北京神策的公司logo完全符合，而且該公司於微信（wechat）公眾號即為
sensorsdata2015。另，記者也找到了該公司在網路上，教導旗下學員如何將「
sensorsdata2015jssdkcross」應用於cookies的心法教學，並有詳細的操控步驟SOP可遵
循。
備註1：所謂的SDK（Software Development Kit，軟體開發工具包）是許多網站或應用程
式為了方便進行數據分析而使用的工具，能夠收集用戶的行為數據，並傳回到後台系統進
行分析。全球知名的Google公司，其用來做數據分析的GA，使用的正是SDK追蹤碼。然而
，這些數據可能不僅僅回傳到該金融機構的伺服器，還有可能被傳回中國境內的伺服器，
這對於用戶隱私及國家數據安全構成了潛在的重大風險。
－－
吐槽點太多了以至於無法分辨是不是反串。
作者:
zxc8787 (摸斗哈壓庫)
2024-10-11 17:32:00所以是哪間金融機構啊？
作者:
neo5277 (I am an agent of chaos)
2024-10-11 18:29:00SDK新解~~XD
作者:
art1 (人，原來不是人)
2024-10-11 20:09:00連結消失了耶？記者怎麼會發現這篇在胡扯一通？XDDDD
作者: WTS2accuracy (宝鐘海賊団の一味) 2024-10-11 20:30:00
政府販賣恐懼 鞏固政權 XD
作者: guanting886 (Guanting) 2024-10-12 01:02:00
神策很有名啊 是那個傻子硬要報
作者: tsaigi (菜雞) 2024-10-12 02:39:00
笑死 這樣下架484有打到自己人
作者:
CoNsTaR ((const *))
2024-10-12 05:29:00遭埋 sdk... 臺灣記者真的太好當了
作者:
sdyy (中壢市的小智)
2024-10-12 10:08:00垃圾新聞
記者不會自己知道什麼SDK什麼JS啦....八成是這個不知道哪來的半桶水工程師「A大」跑去找記者的
作者:
aquablue (LostStars)
2024-10-12 12:16:00真是媒體製造業..
作者:
accoduies (Accoduies)
2024-10-12 13:13:00勒公三小
作者:
Ekmund (是一隻小叔)
2024-10-12 14:13:00呃...20幾年前的政爭抹黑文的程度
作者: poorenglish (英文菜) 2024-10-12 14:51:00
又是set的嗎？XD
作者:
LoveMoon (我不是魔獸三國作者.....)
2024-10-12 15:27:00三小A大，XD
作者: TaiwanUp (以運動為本的道路環境) 2024-10-12 16:21:00
用小動物造謠的概念
作者: aria0520 (紫) 2024-10-12 21:59:00
笑死
作者: dongdong0405 (聿水) 2024-10-12 22:12:00
A大是哪裡畢業的 講出來給大家笑一下
SDK 三小 記者現在連 Google 都不會了嗎==
前端的數據分析 GA 啊這到底是在怕三小 還以為是伺服器端，無痕模式就不會做數據分析嗎
作者:
ajim36 (阿泰ㄚㄚㄚ)
2024-10-13 01:19:00ncc真的是死人，這種摧毀國家金融信任的叛國行為都不用停牌
作者:
acgotaku (otaku)
2024-10-13 02:58:00其實不能說埋前端就沒事拉,誰知道 data 有沒有 encrypt不過現在都走 oauth 不應該能取得任何機敏資料但是我必須說 現在卷商的開戶網頁寫的是真的很陽春有一次開戶完,因為過程太粗糙怕是吊個資網站,我就把網頁endpoint 拿掉,居然能到路由路口....後來隔天跟卷商確認才放心這個不是釣魚網站 不然那粗糙程度真的很像詐騙
作者: guanting886 (Guanting) 2024-10-13 10:27:00
這工程師大概不知道有CDP這種的東西，以為有GA 公司的其他團隊就不需要其他的系統這類系統本來就是拿來收據客戶數據用的，架在地端的目的就是資料不要送到人家的系統上 單純買授權用他的軟體我看下次如果新聞還硬要寫文，可以去開HPE伺服器上面的iLO或DELL的iDRAC切成簡體中文 看會不會有資料送回北京有幾分證據就講幾分話 這種用猜的東西非常不可取遭埋SDK這種標題都下 ..==
作者: tanby (tanby) 2024-10-13 18:15:00
表示都沒有去查證新聞內容 唉
作者:
hegemon (hegemon)
2024-10-13 18:58:00以台灣記者的程度，你覺得查證後他們看得懂？
作者:
gs8613789 (Shang6029)
2024-10-13 22:34:00完全看不懂在寫什麼，被埋SDK是什麼邏輯
作者:
jobintan (Robin Artemstein)
2024-10-14 08:15:00我估摸著大多數文組記者連這詞的啥意思都不想查，看到沒見過的詞就覺得很牛批，然後就發新聞稿了。wwwwwwwwwwww
作者: zxcasdjason1 (nice_Sky) 2024-10-14 11:17:00
把GA當免費的log服務用還不錯除ga紀錄你商業行為外，如操作ui失敗導致客戶的跳出也是網站很需要優化的部分，實作上做法很相似，但分析重點可能完全不同這串碼甚至估狗得到廠商，覺得做法上跟這記者講得完全兩件事。想起以前也會看到新聞在橋樑工程看到保麗龍，就說這是偷工的不專業報導很相似的
作者: dildoe (Dildo) 2024-10-15 21:34:00
台灣記者比彭博小說家還猛XD
我是不太懂銀行規則啦 但是神策其實滿常見的幣安也是有部分是用神策在分析 繞這塊打不知道在打殺小