為什麼藍新金流被盯上？
2024 年下半年起，PTT、Dcard、Mobiles01 上陸續出現「藍新金流被盜刷」的討論串。受害商家從小型電商到月營業額數百萬的規模都有。問題到底出在哪裡？是藍新不安全，還是串接方式有盲點？
答案：兩者都有。
藍新金流（NewebPay）在 2021 年全面升級至 3DS2 驗證系統後，整體安全等級已大幅提升。然而，多數開發者在串接時只做了「最低限度」的實作，只求功能跑通，忽略了安全細節。這正是盜刷者眼中的破口。
3DS2 到底是什麼？
3DS2（Three-Domain Secure 2）是國際發卡組織（Visa、Mastercard、JCB）推動的網路交易驗證標準。簡單來說，它在「持卡人輸入卡號」和「商家請款」之間，多加了一道「發卡銀行驗證」的關卡。
與舊版 3DS1 相比，3DS2 的關鍵差異：
- 豐富資料（Rich Data）：3DS2 要求商家傳送更多交易上下文（IP、設備指紋、帳單地址等），讓發卡銀行能更準確地判斷是否為本人交易
- 無縫驗證（Frictionless Flow）：對低風險交易，3DS2 可在持卡人無需任何操作的情況下完成驗證，大幅降低結帳放棄率
- 責任轉移：完成 3DS2 驗證的交易，若發生盜刷，損失由發卡銀行承擔，商家原則上免責
一個完整的 3DS2 驗證流程：持卡人結帳 → 商家系統向藍新發起交易請求（同時傳送豐富的交易資料）→ 藍新將請求轉發至發卡銀行 3DS 伺服器 → 發卡銀行決定驗證方式（低風險直接通過，高風險要求 OTP/銀行App驗證）→ 驗證結果回傳藍新 → 藍新通知商家系統 → 商家確認完成請款。
關鍵在於：如果系統在請求時沒有正確傳送「豐富資料」，發卡銀行等於是「盲開」驗證。
盜刷者如何突破防線？
研究多起盜刷案例後，攻擊模式可分為三類：
1. 無卡交易（CNP Fraud）
盜刷者取得卡號（通常來自外流資料庫或側錄），在沒有實體卡的情況下進行線上消費。
2. 弱 OTP 繞過
攻擊者透過社交工程或木馬程式取得受害者手機，截取 OTP 簡訊，突破銀行驗證。
3. MOTO 通道濫用
Mail Order / Telephone Order（MOTO）是不需要 3DS 驗證的交易通道。盜刷者會欺騙商家使用 MOTO 通道下單，繞過 3DS2 保護。
電商開發者的 6 個常見漏洞### 漏洞一：沒有正確處理 3DS 結果回調
部分開發者只驗證了「交易是否成功」，卻沒有驗證「3DS 驗證狀態」。正確邏輯應該是：只有在 3DS 狀態為「成功」的情況下，才完成請款。
漏洞二：CVV 不用驗證就能請款
藍新的「藍新金流免卡號方案」允許在特店後台手動輸入卡號交易。若商家開放此功能給消費者前端，等於讓盜刷者只需要卡號就能消費。
漏洞三：未實作 IP 限制與頻率管制
同一張卡短時間多次交易嘗試、同一 IP 嘗試多張不同卡號——這些都是盜刷的典型特徵。
漏洞四：信用卡有效期不做前端驗證
過期卡也能送出，造成無效交易。
漏洞五：Payment Gateway 設定為 Allow 全部交易
藍新後台的「交易限額」與「風控規則」若未設定，風險完全暴露。
漏洞六：沒有記錄交易日誌
盜刷發生時，沒有完整交易日誌就很難向銀行或司法單位舉證。
藍新金流實戰設定指南### Step 1：確認特店後台已啟用 3DS2
登入藍新特店管理後台，確認「3D 驗證」設定為「強制執行」。
Step 2：MerchantInfo.ini 設定
藍新的 MerchantInfo.ini 中，Version 欄位要設為 2.0 才能使用 3DS2。
Step 3：正確處理拒絕交易
當 3DS 驗證失敗時，藍新會回傳 CUSTOMER_CANCEL 或 AUTH_FAILED 狀態。千萬不要在這些狀態下還是完成請款。
如果已經被盜刷怎麼辦？
處理順序：立即停用相關功能（止血）→ 保留完整交易資料 → 向藍新金流通報 → 向發卡組織申請爭議款 → 報案。想知道完整應變步驟可看[藍新金流、綠界被盜刷怎麼辦？2026年電商網站必備的支付安全實戰指南](https://fordige.com/blog/taiwan-payment-gateway-fraud-prevention-guide)。
2026 最新防護策略總結
經過大量案例分析，電商金流安全最佳實踐：
- 一定要用 3DS2（不要降級到 3DS1，更不要完全停用）
- 豐富資料是關鍵：正確傳送 IP、設備資訊、帳單地址
- 永遠驗證 3DS 結果：請款前必須確認
3ds_status = SUCCESS - 後台設定不可忽視：單筆限額、每日限額、風控規則全部要設
- 實作即時風控：同一 IP、同一卡號的異常頻率要第一時間阻斷
- 日誌即證據：完整的交易日誌是事後舉證的唯一依據
藍新金流本身的安全性並不差，但安全的系統需要商家和支付商共同建構。開發者的責任，是在串接時把每一個安全細節都做到位。
業主 5 個常見問題 （FAQ）
整理自台灣業主最常問的問題，讓你在開會前先有基本答案：
Q1：為什麼要關心這個主題？
每個產業都有關鍵的技術趨勢，業主了解後可以做更好的技術選擇與預算分配。本文整理的內容對應你可能會面臨的真實決策情境，實際細節依各家專案範圍與技術選型而異，本文不替任何特定解決方案背書。
Q2：花多少時間投入才合理？
技術主題的學習與投入時間依團隊規模與技術成熟度而異。建議業主先做小範圍測試（2-4 週）確認可行性，再決定是否擴大投入。實際時間分配依團隊能力與預算而異。
Q3：該自己來還是委外？
技術能力依團隊而異。如果團隊有熟悉相關技術的工程師，可以自己嘗試；如果沒有，建議找有經驗的顧問協助，避免走錯路浪費時間。實際選擇依團隊能力、預算、時程而異。
Q4：預算要抓多少？
技術主題的預算依規模而異。建議業主先確認：要做什麼（範圍）、做到什麼程度（品質）、多快完成（時程）。這 3 個變數決定預算規模，本文不提供具體數字，實際依各家專案範圍評估。
Q5：做完之後怎麼驗收？
驗收不只是「能不能用」，還要看「效能」「安全」「可維護性」「未來擴充性」。建議合約前先約定驗收標準，避免「做完才發現不是我要的」。
進一步閱讀
這篇談的是藍新金流的 3DS2 安全性與開發者常見漏洞。如果你正在評估電商網站的
金流與資安架構，這三篇可以一起看：
- 各家金流的費用、API 與 3DS2 差異｜PAYUNi 統一金流解析
- 網站端能做的防盜刷防線｜電商網站盜刷防範與風控實務
- 金流之外，網站本身要花多少｜網頁設計完整決策指南
