BSP 在 2021 年 12 月一起駭客事件耗盡客戶帳戶後，對 BDO 與 UnionBank 祭出制裁

2021 年 12 月，駭客透過一個遭入侵的網路服務，未經授權存取了 BDO Unibank 的客戶帳戶，並將資金大多轉入 UnionBank 的帳戶。國家調查局表示，約有 700 名客戶受到影響；約 120 萬披索被提領，若這些轉帳未被標記，總額可能超過 5,000 萬披索。

2022 年 4 月，菲律賓中央銀行（Bangko Sentral ng Pilipinas）完成調查，貨幣委員會（Monetary Board）核准對兩家銀行祭出制裁。BSP 未揭露罰則，但 UnionBank 的執行長表示並無金錢罰款——兩家銀行反而被要求提高其作業風險的資本計提；BDO 表示將會遵守，而 BSP 則肯定 BDO 對受影響客戶的補償。

這起事件暴露出兩家銀行如何依賴交易後監控，而非更強的身分驗證與詐欺防制措施。該計畫中使用的「Mark Nagoyo」人設，在菲律賓成為網路銀行身分竊盜攻擊的代名詞。

約 700 個 BDO 帳戶受影響；約 120 萬披索被提領，另有逾 5,000 萬披索面臨風險。BSP 對兩家銀行祭出制裁，BDO 補償客戶，作業風險的資本計提也隨之提高。

這起入侵始於一個遭入侵的網路服務，意味著工作階段與身分驗證控制在任何詐欺標記出現之前就已失效。

轉帳被匯經 UnionBank 帳戶，因此收款銀行自身的風險檢查也未能攔下此一模式。

兩家銀行仰賴補償與監管制裁，而非本可阻止規模達 5,000 萬披索竊案的即時控制措施。

BSP 的回應清楚表明，網路事件是監理上的缺失，而不只是國家調查局的刑事案件。

銀行可能因攻擊者的行為而受制裁：2021 年 12 月的入侵直到詐欺標記出現後才被阻止，而監理機關因兩家銀行控制薄弱而懲處了它們。

BDO 補償了受影響的客戶，兩家銀行也承諾強化網路安全、防制洗錢與反恐措施。這些制裁並未揭露金錢罰款，但更高的作業風險資本計提成為兩家銀行的直接財務成本。國家調查局與司法部對轉帳背後的個人追究刑事責任，而這起事件也推動了菲律賓更廣泛地要求更強的電子銀行身分驗證。