【時報-台北電】民眾在操作網路銀行或線上刷卡時，都會被要求輸入手機收到的OTP（One-Time Password）一次性密碼進行驗證，但OTP現在恐怕已經防不住歹徒盜刷！詐團除了以釣魚連結騙取，還會以截取、即時轉用等手法取得OTP，就算民眾未主動交付，但依信用卡合約，屬個人資安問題遭到盜刷，仍需自行負擔損失。警方直言，OTP僅可證明民眾收到驗證碼，卻不一定能充分證明是「本人正在付款」。

刑事局發現，近期詐團假冒遠通電收，寄發欠繳停車費的釣魚郵件，有民眾點入假網站連結，輸入信用卡號及簡訊驗證碼後，馬上遭到盜刷15萬多元。據統計，這類釣魚連結詐騙案，從民國113年8至12月共1113件、總財損5100萬元，激增到去年4209件、2.3億元，今年1至9月已發生5511件、3.6億元。

　紀姓女子日前接到銀行通知，指她的信用卡被刷了兩筆英鎊，合計台幣6萬多元，儘管第一時間通報銀行遭盜刷，銀行卻表示有發送OTP驗證碼，等同認定為本人交易。紀女雖強調只收到一筆驗證碼，且並未回覆或交給他人，但銀行僅同意一筆可列為爭議款。另名被害人的手機疑似被駭，兩張信用卡遭盜刷10筆、共23萬多元。

　也有民眾反映，明明沒有在線上刷卡，卻莫名收到OTP簡訊。警方表示，這可能是盜刷集團在測試信用卡是否為「活卡」。但如果手機曾點擊暗藏木馬程式的連結或應用程式，令木馬程式取得讀取、轉傳簡訊的權限，一旦收到簡訊，歹徒就能截取到驗證��進行盜刷。

　OTP雖然是防範盜刷的最後一道防線，但如果民眾在不知情狀況下主動交出OTP，銀行通常會認定持卡人有重大過失，導致這筆盜刷款項變成必須由持卡人自己承受損失。

　打詐官警表示，另一種即時轉用方式，歹徒不必破解OTP，讓被害人在假網站輸入驗證碼，再同步把該碼填到真正的交易頁面。或是驗證碼沒被攔截，而是被騙去濫用授權綁定行動支付、註冊裝置、重設帳戶等，被害人以為是在驗證帳戶、解除訂單問題，實際授權的卻是另一筆消費或綁卡程序。

　警方表示，國內雖不曾破獲截取OTP的案件，但西班牙警方曾逮捕12名嫌犯以SIM Swap換卡等方式取得被害人簡訊，造成總財損逾300萬歐元；刑事局目前已鎖定相關盜刷集團深入偵辦中。（新聞來源：中國時報─林郁平／台北報導）