【 专访 】Bank Rakyat 网站出事后，存户该怎么保护自己？LGMS 创办人：先学会“不相信眼睛和耳朵”
读者们，这两天大家应该都看到 Bank Rakyat 网站出事的新闻。11 月 6 日深夜，Bank Rakyat 多个网页（包括 iRakyat 网上银行登录页面）据报被人恶意篡改（defacement），银行随后把大部分网站下线。
银行在 11 月 7 日的声明中表示，受影响的只是由第三方服务供应商管理的企业网站，起因是该供应商系统的技术问题；银行的核心系统和营运照常，客户的个人资料、银行资料和存款都没有受影响。通讯部长 Fahmi Fadzil 同日也表示，这起事件仅限于网页篡改，目前没有数据被盗，网上银行和交易依然安全。
不过，这已经不是 Bank Rakyat 今年第一次和网络安全扯上关系。国家银行在 2026 年 4 月 1 日公布，因为外部攻击者曾未经授权进入 Bank Rakyat 的 IT 基础设施，而国行认定银行在网络安全控制和事故应变方面不足，对其开出 RM1 million 的行政罚款。
那么，作为普通存户，我们到底该怎么保护自己？银行和企业又漏了哪一块？12Invest 访问了本地上市网络安全公司 LGMS Berhad（LGMS，0249）创办人 Fong Choong Fook，听听业内人士怎么说。
访谈以英文进行，以下引述为 12Invest 的中文翻译，并经 LGMS 审阅。
一、普通人：先学会 “不相信眼睛和耳朵”
Mr. Fong 认为，今天最大的改变是 “我们不能再相信所看到、所听到的一切”。AI 已经可以逼真地模仿一个人的声音、样貌和说话方式。
面对 AI 声音诈骗和偷 OTP 的恶意软件，他建议养成三个习惯：
第一，用另一个可信的管道核实紧急要求。 如果有人自称银行职员来电，或者要你转账，先挂电话，再用你本来就知道的号码联络该机构或本人。
第二，只从官方来源安装应用程序，并保持手机和电脑更新。 恶意应用程序可以盗取登录资料、拦截敏感信息。
第三，每个户口用不同的密码，使用银行的安全认证方式；绝对不要把 OTP 告诉别人，也不要批准不是你自己发起的银行确认请求。
不过他也强调，单靠提高警觉并不足够，因为犯罪集团用的技术越来越先进。“网络安全是共同的责任，” 他说，个人要懂得识破操控手法，机构也要在攻击者之前找出自己的漏洞。
二、银行出事后，头 24 小时怎么做？
“第一步是不要惊慌。” 他指出，网站被干扰或篡改，并不代表银行的核心系统或客户数据库已被入侵；以 Bank Rakyat 这次为例，银行已表示客户资料和资金安全。“我们必须分清楚哪些是已证实的事实，哪些只是攻击者的说法。”
他给存户的建议是：
- 只通过经核实的官方管道使用银行服务；
- 留意户口交易记录和通知，一发现未经授权的交易，马上联络银行；
- 特别小心借这类新闻 “乘机” 而来的钓鱼电话和短讯；
- 如果已经因诈骗蒙受损失，要尽快联络银行和 国家诈骗应急中心（NSRC）热线 997，并报警。
对机构来说，把网站恢复只是复原工作的一部分。调查人员还必须查清影响范围、保存证据、修补根本的漏洞，并准确地对外沟通。
三、如果是银行的错，损失谁来承担？
Mr. Fong 的看法是 “责任跟着过失走”：如果调查证实客户的损失源于机构本身的控制不足或失误，就应该有相应的问责和公平的赔偿程序。但每宗案件都要看证据，“不是每一笔诈骗转账都是银行被入侵造成的。”
他支持机构在发生重大事故时，按照法律和监管要求及时、透明地沟通，让客户知道哪些已证实、哪些仍在调查，以及该采取什么保护措施；但披露也不应变成猜测。“归根究底，网络安全保护的是公众的信任，而不只是电脑系统。”
四、RM1 million 罚款有阻吓作用吗？
他认为罚款不应该单独来看。一起严重的网络事故，真正的代价可能包括系统停摆、调查、补救、法律风险、声誉受损和客户信心流失，“重建信任可能比缴付罚款难得多。”
同时他也提醒，在没有证据之前，不应自动把最新的网站事件和较早前的执法行动挂钩。对董事部来说，更有用的问题是：公司在网络安全上的投资，是只为了合规，还是真正理解这是一项业务风险？
五、每年都做安全评估，为什么还会出事？
他用了一个比喻：“假设你的房子 1 月通过了安全检查，2 月窗户就破了，你会等到明年 1 月才再检查吗？”
渗透测试（penetration test）反映的只是测试当时的安全状况，不能保证系统明天依然安全。两次评估之间，可能会冒出新的漏洞、错误配置或被盗的登录资料，而攻击者也越来越多地利用 AI 加快攻击。“未来不只是知道你昨天安不安全，而是了解你今天的风险暴露，并知道下一步该修补什么。”
六、真正的弱点：员工的设备和被盗的登录资料
“攻击者不一定要攻破防火墙，只要拿到合法员工的登录资料就可以，” 他形容，这就像罪犯拿到一张有效的门卡，走进一栋戒备森严的大楼。
所谓的窃密软件（infostealer）可以从中毒的设备里窃取密码、浏览器登录状态和其他敏感资料。他也提醒，网上流传的、点名本地机构 “中招” 的名单需要独立核实，不应被当成既定事实；但这类威胁本身是真实存在的，“一个被盗的密码看似小事，却可能是一场更大入侵的第一步。”
七、大马最大的缺口：第三方供应商
他肯定大马在网络安全治理方面的进展，包括《2024 年网络安全法令》（Cyber Security Act 2024），但 “立法本身无法消除技术和营运上的风险”。
他特别点出第三方风险。大机构依赖软件供应商、云端服务商、外包 IT 团队和承包商，其中一些供应商拥有远程进入关键系统的权限；即使机构把自己的网络保护得很好，相连供应商的弱点也可能成为攻击者的另一条通道。值得一提的是，Bank Rakyat 这次也表示问题出在第三方服务供应商。
他建议机构评估供应商的安全水平、限制和监控远程访问、了解自己对外暴露的数字资产，并定期测试各项控制。
八、事故发生后的头 72 小时
他说，头 72 小时非常关键，但实际步骤视事故而定：
- 控制（containment）：找出受影响的资产、阻止扩散、保存数码证据、维持关键营运；
- 调查：检查日志、账户、恶意活动和可能的入口，弄清楚发生了什么、影响了什么；
- 复原：有序地补救、核实，并清楚地沟通。
他提醒，复杂的入侵事件，调查和复原往往远超三天；而最常见的错误之一，是在还没弄清楚攻击者怎么进来之前就急着恢复系统，“这等于把门继续开着。”
LGMS 在这里扮演什么角色？
LGMS 的本业是网络安全评估，包括渗透测试、合规咨询、数码鉴证和事故应变。Mr. Fong 表示，传统测试往往针对既定范围和特定要求；情报主导的渗透测试和红队演练（red-team）则会模拟真实攻击者，看看不同系统的弱点能不能被串连起来，同时测试机构的侦测和应变能力。
他举了一个假设例子：一家企业防火墙很强、端点软件也最新，但一组外泄的员工登录资料，可能让攻击者进入某个第三方应用程序，再一步步取得更多权限。每项控制单独看都没问题，串在一起却形成真实的业务风险。
在 AI 方面，LGMS 正在发展多项本地研发的安全技术：
- AI 攻击面管理（Attack Surface Management）：找出对外暴露的资产和弱点；
- SPECTA：登录资料外泄监测及网络威胁情报；
- NOVA：以 AI 辅助的源代码漏洞分析；
- AI 及大型语言模型（LLM）应用安全评估；
- CoreGravity：利用诱骗（deception）技术侦测和分析可疑活动。
他认为，AI 和自动化可以让部分安全服务更具规模，也可能让缺乏大型内部安全团队的中小企业更容易负担。他也坦言，如果这些产品成功商业化，长远可望带来更持久的客户关系和经常性收入机会。“大马不应该只是网络安全技术的买家，我们也应该自己开发。” 他说，LGMS 的目标是从一家网络安全评估专家，转型为服务更广市场的大马网络安全科技公司。
投资者角度：LGMS 的近况
根据 LGMS 截至 2026 年 6 月 30 日的上半年业绩，集团营业额按年增长 6.5% 至 RM20.93 million，净利 RM3.95 million。第二季营业额 RM10.07 million，与去年同期的 RM10.02 million 相若；净利从 RM2.03 million 降至 RM1.75 million，主要因为扩充人手带来的员工成本，以及新方案和第三方方案转售所增加的 IT 开销。
主要业务 “网络风险预防” 第二季营业额按年增长 17.8% 至 RM6.87 million，客户来自科技、制造和物流领域。集团宣布派发每股 0.5 仙的首次中期股息，并在今年 1 月完成收购 Antarex Holdings Sdn Bhd 的 27% 股权。
要留意的是，网络安全事件增多，确实会提高企业对安全服务的需求，但这不等于订单会自动转化为盈利。上述 AI 产品仍在推广阶段，能否成功商业化、何时贡献可观收入，还有待后续业绩证明；投资者也要留意人手和研发开销上升对利润率的压力。
写在最后
Mr. Fong 在访谈最后说，网络安全正逐渐成为数字经济中做生意的基本条件，就像企业离不开稳定的电力、通讯和金融系统一样。“我们的目标不只是在攻击发生后帮企业复原，而是帮它们在攻击发生前变得更有韧性。”
对我们普通人来说，最实际的提醒只有几句：接到 “银行” 来电先挂断再自己回拨、只用官方 App、OTP 永远不给任何人；万一被骗，马上打 997。
本文所述 LGMS 产品及业务方向为受访者观点；本文仅供参考，不构成任何投资建议。
你身边有人遇过 “银行来电” 或 OTP 诈骗吗？欢迎在下面留言，也请把这篇文章分享给家人朋友！
免责声明：本文仅供参考及教育用途，并不构成任何买卖建议。投资者在作出任何投资决定前，应细阅相关资料并自行判断。投资涉及风险，请谨慎。
