WFU

2019年9月16日 星期一

美國券商 Firstrade 被駭客入侵了!我該怎麼辦?

作者:姚侑廷


以「交易零手續費」風靡國內美股投資者的 Firstrade ,昨天(2019/09/15)下午五點左右,被發現客戶的聯絡 email 與帳戶姓名被駭客入侵修改。一時間各大投資粉專紛紛互相提醒修改資料,並更新帳戶名稱與密碼。該「事故」(客服的回應是「暫時性的錯誤顯示」)在同日晚上十點半左右「修復」。注意我都用了引號。短短幾個小時,比較可能的做法是「恢復上一動」:資料修復而已。破洞補起來了嗎?合理的推測是還沒。






先來看看首頁被竄改的資料。帳戶名稱被改成了 STEFANOFINDING HACKERONE。表面的意思是一位在 Hackerone工作的人,他的名字是 stefano,他找到了這個漏洞。但是你根本不知道,駭客是 Hackerone,還是隨便一個張三李四王五。更何況,網路搜尋了一下,並沒有看到 Hackerone 的聲明或新聞稿。


擔心嗎?


我不知道這短短的五個小時內,知道這件事情的客戶有什麼感受。你有把自己的身家都押在 Firstrade 嗎?昨天晚上有擔心嗎?雖然 Firstrade 的官網都有寫,它們有加入美國證券投資人保護組織(SIPC),有 25 萬美元的保險。加上額外保險,總額可達 3750 萬,現金上限是 90 萬。但你仔細看,他保障的是「當其中會員倒帳時,SIPC 負責償還該會員或的線金和證券」。如果你的帳戶被偷走了,SIPC 需要賠你嗎?我覺得未必,因為被偷走的是你的帳戶,Firstrade可是沒倒帳啊!


資料來源:Firstrade官網

當然或許有人會批評這家美國券商真是不安全,居然沒有登入就能從後台更改客戶的資料。對方今天不是無法拿走你的帳號,他只是不拿。比起許多加密貨幣交易所都有的兩步驟認證(大部分都用 Google Authenticator),或是信用卡交易時的「傳簡訊到手機號碼再確認」,它真的是個不夠安全的操作介面。就算這次的駭入行動是帳號密碼被盜用好了,該官網的登入 pin 碼是固定而非變動的,而你想得很辛苦的「安全問題及解答」,再重新設定帳號密碼時,根本可以直接選擇「你持有的股票有哪些」的選項而繞過去。總體來說,從 Firstrade 買賣美股,真的有極大的風險。駭客們不是拿不到,只是不拿。


「價差」的意義


這時比起國外,國內的複委託就有巨大的優勢了。帳戶被盜之後,通常【聯絡客服非常多次+客戶負舉證的責任+上法院】是可能的後續流程。這時如果證券行是看得到摸的到,就在你家附近的話,就會沒那麼困擾了。用個簡單的比喻就是,網路買東西雖然方便便宜,但是實體店面買的時候,不論是反應或退換貨,都會方便的太多。這也就是「凡事必有價」的原理。所以我都建議朋友在實體店面買化妝品、名牌包、珠寶,因為這些東西你承擔不起「假貨」的風險。更何況,對【長期買入+持有】的投資者來說,美國券商與複委託的成本並沒有不同。我之前寫過一篇文章計算兩者的差異:《該使用美國券商還是國內複委託?》,請參考。


因應對策


以下是我的建議:

一、認真考慮是否將美國券商的股票移回台灣的複委託帳戶內。每個人的配置與規劃都不同,這個因人而異。

二、雖然資料復原了,還是依據【這一篇】的要點,去把帳號密碼改一下吧。房子都被闖入過了,雖然他可能是從窗戶進來的,但你還是要換門鎖,因為你不知道他有沒有順便打了你的大門鑰匙,以便下次更好進來啊。

三、「投資有風險」這句話,大家往往把它簡化成「股票下跌」,然後輕率的回覆「啊我能承擔啦」。其實風險可多了,你不怕是因為你不知道,不然為什麼年輕人騎機車都那麼敢?這次發生的事情就是最好的例子。你可以設想一下,如果現在你已經 75 歲,正過著「每半年從 firstrade 賣股,轉一萬美元回台灣,享受著長期投資的豐碩回報」的日子。帳戶再次發生駭客入侵事件,無法登入操作,客服一直說「我們在處理中」,懸而未決。這時你會不會後悔,當初應該存一些在台灣的銀行?這也是為什麼,許多家財萬貫的金融從業人員,明明學識淵博,經驗豐富,卻都只買定存商品的道理。

未雨綢繆有時會被當成杞人憂天,如何在這兩端取得平衡,一直是相當困難的課題。希望這篇文章能讓你我多思考一些。