美國社區銀行MainStreet Bancshares爆第三方供應商資料外洩，4.65%客戶受影響
美國社區銀行MainStreet Bancshares近日披露，一宗涉及第三方供應商的網絡攻擊，導致部分客戶資料被盜，突顯供應鏈安全環節經常成為網絡罪犯入侵的薄弱點。這間主要經營MainStreet Bank的控股公司，於上星期五向美國證券交易委員會（SEC）報告事件，指今年三月已獲悉供應商被黑客入侵。
至4月28日，MainStreet Bancshares確認旗下約4.65%客戶資料被盜。雖然銀行一直未有公開客戶總數，但根據最新業績，2024年存款總額增長13%至19億美元，全年收入達1.35億美元。總部設於維珍尼亞州費爾法克斯的MainStreet Bank，在維珍尼亞及華盛頓特區僅設有6間分行，但網絡覆蓋約55,000部ATM機，更有逾千間企業採用其「Put Our Bank in Your Office」上門銀行服務。
公司在向SEC提交的8-K表格中強調，今次事件並無影響自身技術基建，亦未發現有未經授權的交易或資金流失。被入侵的第三方供應商身份未有公開，事件亦未對MainStreet的日常運作及財政構成影響。
MainStreet表示，得悉事件後已即時啟動應急響應程序，調查及修復事故，初步評估事件影響「可能不具重大性」。雖然每位供應商都經過嚴格安全審查，但事發後已果斷中止與涉事供應商的所有合作。
公司續指，「2025年5月26日已設立監控系統，並已通知受影響客戶，同時提供監察可疑活動的工具。」
銀行業反彈，要求放寬網絡事故披露規定
與此同時，英國正準備加強網絡攻擊強制披露要求，美國銀行業界卻對現行規定感到不滿，並積極遊說放寬。SEC自2023年12月起，要求受規管機構在8-K表格的1.05條款下，必須披露網絡安全或資料外洩事故。自此，數以百計機構被迫公開自己遭受的攻擊及資料失竊情況。根據開源追蹤網站，截至目前，經8-K披露的網絡事故已達221宗。
上週，包括美國證券業及金融市場協會（SIFMA）、美國銀行家協會、銀行政策研究所、美國獨立社區銀行家協會及國際銀行家協會等五大銀行組織，聯署公開信要求SEC撤銷1.05條款。他們同時質疑8-K和針對外國發行人的6-K規則，但認為8-K 1.05條款導致大部分披露壓力。
銀行業界認為，規則要求迅速披露，往往令事故在調查未完成前已經曝光，反而增加風險。他們又指，這些披露對投資者決策幫助有限，銀行亦經常混淆應該在哪一條款下報告事故。1.05條款屬於「重大資料事件」，8.01則屬「非重大事件」，但「重大」的定義一直惹來混亂，SEC去年更要特別發出澄清，但銀行業界仍然難以適應。
最後，銀行業界聲稱，這些披露已被網絡勒索集團利用，成為敲詐工具，著名的ALPHV/BlackCat勒索組織就曾以此手法威脅企業。
公開信寫道：「這些要求為SEC登記機構帶來額外風險、成本及複雜性，削弱SEC促進資本形成的使命，同時未能產生有助投資者保護的決策資訊。」
五大銀行組織「鄭重要求」SEC撤銷1.05條款，並表示願意與監管機構合作，制定更平衡的網絡披露機制，既顧及國家安全，亦不忽略對投資者的保護責任。
編輯點評：供應鏈安全是金融業的「阿基里斯之踵」？
這宗MainStreet Bancshares的資料外洩事件，雖然受影響客戶比例不算高，但卻再次揭示了金融業在數碼轉型下，供應鏈安全的「阿基里斯之踵」問題。即使銀行本身的系統滴水不漏，只要外判商或第三方服務商出現漏洞，整個客戶資料庫都可能一夜間失守。這種「最弱一環」的現象，對任何高度依賴外部IT供應商的行業都是警號。
值得注意的是，銀行業界對於強制披露網絡事故的規定反應強烈。他們擔心，過早披露會令機構在調查未完成前就要面對公眾壓力，甚至被勒索集團利用。但從投資者及用戶角度看，資訊透明正正是保障權益的基礎。銀行業界質疑披露未必有助投資者決策，其實反映出他們仍未完全理解，現今「信任」與「風險」管理已經密不可分。
香港金融機構同樣面對供應鏈安全風險，尤其近年本地銀行積極推動數碼化、開放API及與科技企業合作，第三方服務商的安全審查及監控成為新挑戰。如何在資訊透明、客戶信心與營運風險之間取得平衡，值得本地金融界深思。事實上，銀行如能主動、及時、負責任地披露事故，反而有助提升品牌信譽，減少二次損害。
未來，隨著網絡攻擊手法愈趨複雜，單靠內部防禦已難以應對，金融業必須將供應鏈安全納入整體風險治理框架，並加強與監管機構、供應商及客戶的溝通協作。否則，一個微小的漏洞，隨時釀成全行業信心危機。
✨🎱 Instagram留言 →
AI即回覆下期六合彩預測
🧠 AI 根據統計數據即時生成分析
💬 只要留言，AI就會即刻覆你心水組合
🎁 完！全！免！費！快啲嚟玩！
下期頭獎號碼
📲 去 Instagram 即刻留言
