前一陣子有幾家臺灣電商業者陸續反映，收到藍新金流（NewebPay）通知，某個區段的交易被髮卡銀行強制扣回（Chargeback），金額不大但頻率很高，客服處理到快崩潰。後來一查才發現，是有人在測試盜刷卡號，透過小額多次的方式「試水溫」。這不是個案——根據信用卡聯合處理中心的公開資料，臺灣電商盜刷主要以網路交易（MOTO/EC）型態為主，多數受害的不是銀行，而是中間承做的收單機構與電商商戶。（本資料整理自聯卡中心公開統計，若有出入請以官方公告為準，相關統計可看聯卡中心官網）
為什麼電商網站是盜刷者的目標？
很多人以爲盜刷是「銀行該管的事」，但實際上電商網站是最容易被突破的環節。攻擊者挑選目標有幾個共同特徵：
- 沒有 3D 驗證機制：只要卡號、有效期限、CVV 三碼就能完成交易，完全繞過了髮卡銀行的持卡人身份確認。3D Secure 標準可看EMVCo 官方 3D Secure 規格。
- 商品可即時交付：數位商品、遊戲點數、虛擬貨幣等，刷卡後立即發貨，無法攔截，給了攻擊者充足的操作時間。
- 風控規則過於寬鬆：沒有設置單筆金額上限、單一 IP 或裝置的訂單頻率限制。
- 使用舊版 API 而無額外校驗：直接透傳卡片資料給金流商，沒有在自家系統多做一層過濾。
從攻擊者的角度來看，攻擊一個防護薄弱的臺灣電商網站，成本極低、收益明確。一旦成功，通常就是小額多筆試刷，或者直接購買高單價商品轉賣。
藍新金流盜刷的典型模式
在臺灣電商圈，常見的藍新金流與綠界盜刷案件中，攻擊者通常使用以下幾種手法：
測試盜刷：先用小額確認卡號是否有效
這是最常見的起手式。攻擊者透過自動化腳本，在電商網站不斷嘗試用不同的卡號組合下單。金額通常設定在較低區間——剛好低於銀行的「異常交易通報門檻」，但足以確認卡號是否仍在有效狀態。一旦確認有效，後續就會放大金額採購。
這類攻擊的特色是：訂單來源 IP 分散（使用代理伺服器或殭屍網絡）、裝置指紋不斷更換，但結賬 Email 往往會出現規律性——例如使用同一批臨時信箱（disposable email）網域。
木馬盜卡：消費者端資料外洩
有些盜刷並非來自網站本身的漏洞，而是消費者端遭殃。用戶的電腦被植入鍵盤側錄木馬，或者手機收到釣魚短信輸入卡號，攻擊者拿到卡號後，在各大電商平臺「試刷」。這時候網站本身的防護再好也沒用——因爲攻擊者用的是真實的、持卡人本人也不知道已外泄的卡號。關於木馬攻擊鏈可參考 MITRE ATT&CK 的 Credential Access 章節。
社交工程繞過風控
另一種手法更精細：攻擊者先透過釣魚或其他方式取得消費者的 Email 與消費記錄，再用這些信息在電商網站「扮演」該消費者下單。由於交易歷史正確、配送地址真實，許多風控系統會被繞過。社交工程框架可看 Social-Engineer 社群資源。
網站開發者能做的事：系統層防線
對於負責電商網站開發或維護的工程師來說，以下幾個層面可以大幅降低成爲盜刷目標的機率：
強制啟用 3D 驗證
3D Secure（Visa 的 VBVS、MasterCard 的 SecureCode）是目前對抗盜刷最有效的一道防線。持卡人在結賬時會跳轉至髮卡銀行頁面，輸入一次性密碼或生物辨識，攻擊者即便有卡號，也難以完成這道驗證。3D Secure 2.0（EMV 3DS）規格在 2026 年已是主流標準。
實務上建議：設定金額門檻強制啓用 3D 驗證（具體金額依業務規模評估），低於門檻的訂單也要限制單日累計次數。如果金流 API 支持「強制 3D 驗證」參數，務必將其設爲必選而非可選項。想看完整 3DS2 實測與防坑細節，可參考 [藍新金流盜刷怎麼防？3DS2 安全性實測 + 開發者防坑指南（2026）](https://fordige.com/blog/lan-xin-payment-security-3ds2-guide)。想了解完整實測與防坑細節，可看 [藍新金流盜刷怎麼防？3DS2 安全性實測 + 開發者防坑指南（2026）](https://fordige.com/blog/lan-xin-payment-security-3ds2-guide)。想了解完整實測與防坑細節，可看 [藍新金流盜刷怎麼防？3DS2 安全性實測 + 開發者防坑指南（2026）](https://fordige.com/blog/lan-xin-payment-security-3ds2-guide)。
自建風控規則，不等於依賴金流商
很多工程師以爲「接了藍新/綠界，風控就是他們的事」，這是一個危險的誤解。金流商的風控系統是針對所有商戶設計的，無法針對你的業務邏輯做細部調校。你應該在自家系統建立額外的檢查層：
- 單 IP 時段內訂單上限：同一 IP 在短時間內下單超過合理筆數，立即觸發人工審覈或阻斷。
- Email 風險評分：拒絕使用臨時信箱網域（mailinator.com、tempmail.com 等常見清單）的訂單。
- 地址與 IP 地理比對：配送地址在臺灣，但 IP 來自境外，且使用免費 VPN，這類訂單應標記高風險。
- 卡片 BIN 號黑名單：維護一份已知的風險髮卡地區 BIN 號清單，對來自特定髮卡行的交易加嚴審查。BIN 號規則可參考 ISO/IEC 7812-1 識別碼標準。
訂單延遲出貨或虛擬商品驗證
對於高單價實體商品，建議設定「延時出貨」機制——訂單成立後等待一段時間再出貨，留給風控系統足夠的反應時間。如果是虛擬商品，在發貨前多一道「Email 驗證碼確認」手續，可以有效攔截自動化攻擊。
電商經營者不能忽略的流程管理
技術防線的建立是工程師的職責，但以下這些流程面的做法，是電商經營者必須主動落實的：
每日監控訂單異常
很多業者直到月底對賬才發現 Chargeback 金額已經累積很高。建議養成習慣，每天早上花幾分鐘檢查：單日異常高頻率訂單、來自高風險地區的訂單、與平日消費樣貌明顯不同的訂單。多數電商平臺後臺都有相關報表。
制定 Chargeback 應對 SOP
當第一筆 Chargeback 出現時，業者必須在期限內向藍新或綠界提出申訴（具體天數依各金流商契約）。如果能提供訂單確認 Email、IP 登錄記錄、包裹簽收證明等文件，有機會在爭議階段逆轉。多數臺灣中小電商在這塊幾乎是零準備，等到款項被扣回才後悔。Visa 與 Mastercard 的 chargeback 規則可分別參考 Visa Core Rules and Visa Product and Service Rules 與 Mastercard Chargeback Guide。
建議建立一份標準作業流程文檔：收到 Chargeback 通知 → 確認訂單內容 → 收集證明文件 → 向金流商提交申訴 → 記錄並覆盤。
慎選金流服務並理解責任歸屬
臺灣常見的線上收款方案（藍新金流、綠界 ECpay、PayUni 鏈接支付等）各有不同的爭議處理機制與手續費結構。業者在選擇時，不應只看費率，也要了解：Chargeback 發生時平臺是否提供防護機制？有沒有「爭議訂單保障」服務？商戶若持續出現高盜刷率，平臺是否有權終止服務？
對於營業規模較大的電商，建議與金流商的業務或風控窗口建立直接聯繫渠道，遇到可疑交易時可以即時諮詢。
藍新金流與綠界的風控工具比較
兩大平臺的免費基礎風控功能差異不大，真正的差距在於進階工具與申訴支援：
- 藍新金流：提供「交易風險評等」API 字段，可在自己的系統讀取每筆交易的疑度分數，適合做自動化攔截邏輯。另外，藍新的爭議處理介面對臺灣業者較友善，文件提交速度較快。詳細功能可看 藍新金流官網。
- 綠界 ECpay：風控規則偏向預設值，自定義彈性較低。但綠界與多家銀行有直接通路，在某些髮卡行的 3D 驗證通過率上略勝一籌。綠界的「額度管控」功能對防止單日超額被騙有一定效果。完整功能列表見 綠界科技官網。
實務上的建議：以藍新金流爲主、但同時開啓綠界作爲備用通道，並各自設定不同的風險閾值。這樣即使單一金流商的驗證服務出現延遲，也不會影響用戶體驗。
結語
盜刷防不勝防，但絕對可以「大幅降低」成爲目標的誘因。當你的網站建立起足夠的防護門檻，攻擊者自然會轉向那些更容易突破的目標。技術層面啓用 3D 驗證、建立自家風控規則；流程層面養成每日訂單審查習慣、備妥 Chargeback 應對文件。這兩件事做好，不需要花費大量預算，就能把大部分的自動化盜刷攻擊擋在門外。
如果你的電商網站剛剛架設完成，或者正在使用舊版金流串接，建議立刻檢查上述幾個風險點——攻擊者比你想象的更有耐心，他們不會放過任何一個看起來「可以試試」的網站。
風控做好了，網站也要跟著撐得住
防盜刷只是電商網站的一層。上線後還有商品頁、購物車、結帳、對帳、客服，每一層都會影響客人願不願意把錢交出來。
延伸閱讀- 各家金流的費用與 API 差異｜PAYUNi 統一金流解析
- 藍新的 3DS2 怎麼設定才安全｜藍新金流 3DS2 安全性實測與開發者防坑指南
如果你正在評估把網站升級成能收單的電商站，這兩篇可以先看：
- 電商網站架設與金流串接：藍新、綠界、PayUni 的整合方式，購物車與結帳流程設計
- 網站建置報價：依專案範圍評估，需求確認後才提供完整報價
